APIキーAPI Key
APIを呼ぶときに差し出す自分の身分証明
- APIキーは窓口を呼ぶときに一緒に送る長い文字列です。この文字列が「自分」を意味します。
- パスワードと違って名前を別に名乗りません。 キーを持っている側がそのまま本人として扱われます。
- キーごとに開く扉と使える量を別々に決めておけます。
- 漏れると他人が自分の名前で使い、料金と記録は自分に残ります。
- 漏れたと思ったら隠そうとせず、すぐに止めて新しく受け取るのが唯一の答えです。
目次
1たとえで理解する
会社の入館証は一枚のカードです。ゲートにかざすと扉が開き、かざさなければ開きません。扉を開けるのは人ではなくカードです。誰が持っていようとゲートはカードだけを見ます。
カードごとに開く扉も違います。あるカードは事務室まで、あるカードはサーバー室まで入れます。来客に渡すカードはその日の夕方には自動で止まります。
出入りした記録も残ります。何時にどの扉を通ったか全部記録されます。
だから入館証をなくすと困ります。拾った側が自分の名前で扉を開けて回り、記録は自分のものとして積み上がるからです。こうなったらすることはひとつです。そのカードを止めて新しいカードを受け取ることです。
APIキーがこの入館証です。
2くわしく
名前を尋ねずカードだけを見ます
APIキーは意味のない文字と数字が長く続いた文字列です。窓口を呼ぶときにこの文字列を一緒に送ると、受け取った側は一覧から探してこのキーの持ち主だと見なして仕事をしてくれます。
ここで大事なのは、IDとパスワードを一緒に出さないという点です。キーひとつで終わります。だからキーを手に入れた側は特別な手続きなしにすぐに本人のふりができます。キーは鍵というより身分証で、その身分証には顔写真がありません。
人が覚えて使うものでもありません。プログラムの中に入れておいて、呼ぶたびに自動で一緒に送ります。だから人の目に付きにくい場所に長く残りやすいです。
カードごとに開く扉が違います
キーひとつで何でもできるようにしてしまうと危険です。だからキーを作るときに範囲を決めておきます。読むことだけできるキー、決まった機能だけ使えるキー、一日にこれだけしか使えないキーを別々に作れます。
用途ごとに分けておくと事故が起きても広がりません。試験用に作ったキーが漏れても試験用の扉しか開かないからです。どのキーが漏れたか見つけるのも楽です。キーごとに使った記録がそれぞれ別々に積み上がるからです。
有効期限を決めておくのもよい方法です。来客用のカードが夕方に止まるように、キーにも有効期限を付けておけば、忘れて放置したキーが何年も生きたままになることを減らせます。
どこに置いてはいけないか
一番よくある事故は、キーをプログラムの中にそのまま書いておいて、そのプログラムをまるごと公開された場所に上げてしまうことです。公開された場所に上がったキーは数分で拾われることもあります。人が目で探すより先に、自動で見回っている側が先に見つけます。
ブラウザで動く画面側のコードに入れることも危険です。画面に見えないからといって隠されているわけではありません。ブラウザまで下りてきたものは誰でも開いて見られます。キーは人の手が届かないサーバー側に置き、画面ではそのサーバーを経由して呼ぶのが基本です。
チャットに貼って送ること、画面を共有しながら映しておくこと、キャプチャ画像に一緒に写り込むことも同じ種類の事故です。文書やメモに書いておくと、その文書を渡した瞬間にキーも一緒に渡ってしまいます。
漏れてしまったら
漏れたキーは直して使うことができません。なくした入館証に何かを塗り足さないのと同じです。することは決まっています。そのキーを止め、新しいキーを受け取り、使っていた場所を新しいキーに替えることです。
そのあとは記録を見る必要があります。いつから見慣れない痕跡が現れたか、その間に何をどれだけ呼んだかが残っています。使わない時間帯に急に集中して使われた痕跡があれば、それは他人が使ったものです。料金がかかるサービスなら、気付くのが遅いほど損が大きくなります。
前もってしておくべきこともあります。使える量の上限を決めておけば、漏れても被害はその線で止まります。完全に防ぐことより、早く気付いて早く止めるほうが現実的です。
3もう少し正確に
APIキーは本人確認と権限確認を一度で片付ける一番単純な方式です。単純な分、弱い面もあります。文字列ひとつがそのまま身分になるので、漏れた瞬間に取り消す方法がありません。だからより慎重な場所では、短く生きて消える一時的な札を受け取って使ったり、呼び出す側の場所まで一緒に確かめる方式を重ねたりします。
入館証のたとえがずれる点もあります。入館証はなくすと自分の手元にないことに気付きますが、キーは複製されても原本がそのまま残っているので、漏れたことにも気付かず過ぎやすいです。入館証はひとりが一枚使いますが、キーは複数のプログラムが同じものを分けて使うことがよくあり、ひとつを止めると複数の場所が同時に止まるという違いもあります。用途ごとに別々に作っておけと言われる理由です。キーを発行してくれた側が元の値をもう一度見せてくれないのもこの性質のためです。発行の瞬間だけ一度見せて、なくしたら新しく受け取らせるようにしている場所が多いです。
4やってみる
5よくある誤解
キーはパスワードと同じと思われがちですが、実際には名前を一緒に名乗らず文字列ひとつで終わるので、持っている側がそのまま本人になります。
画面側のコードに入れても目に見えなければ大丈夫と思われがちですが、実際にはブラウザまで下りてきたものは誰でも開いて見られます。
漏れても気をつけて使えば大丈夫と思われがちですが、実際には止めて新しく受け取る以外に取り消す方法がありません。
7ひとこと要約
つまりAPIキーは窓口の前で自分の代わりになる入館証で、どこに置くかと漏れたときにどれだけ早く止めるかがほとんどすべてです。
誤りや、もっと良いたとえがありますか？ 修正を提案する · 最終更新2026-09-02