APIキーとは何か

APIキーは、APIを呼び出しているアプリやプロジェクトを識別し、利用可否、使用量、料金などを結び付けるために発行される文字列です。提供する権限によっては、漏えいすると第三者に機能や料金枠を使われます。

すべてのAPIキーが同じ強さの秘密情報ではありません。ブラウザやモバイルアプリへ載せる前提のキーもあるため、提供元が定める用途と制限を確認します。

一文でいうと

APIキーとは、APIの利用元を識別し、許可や使用量を管理するためにAPI提供者が発行する認証情報です。

キーを送る場所、与えられる権限、利用できるAPI、有効期限、制限方法はサービスごとに異なります。「キー」という名前だけから公開可否を判断できません。

AI、地図、メール、決済、画像処理など、外部のAPIとは何かを利用するときに登場します。API提供者はキーを基に、呼び出し元のプロジェクト、割当量、請求対象を判断できます。

一つのキーを開発用と本番用、複数アプリ、複数人で共有すると、漏えい元を特定しにくくなります。可能なら用途ごとに分け、不要なキーを残しません。

読書記録アプリが外部APIから本の情報を取得する場合を考えます。

サーバー用の秘密キーをHTMLやJavaScriptへ埋め込むと、利用者のブラウザから読めます。一方、提供元がブラウザ用キーを用意している場合は、許可するドメインやAPIを制限するなど、その製品の手順に従います。

APIキーを環境変数とは何かで渡すことはできますが、保存先や配信先が安全になるとは限りません。APIキーが利用者本人の細かな権限確認を代替できるとも限りません。

Google Cloudの公式資料では、キーの公開により予期しない課金や不正アクセスが起こり得るため、用途の制限、不要なキーの削除、監視、分離、ローテーションなどを推奨しています。

発行時に次を記録します。

URLのクエリへキーを入れるとログなどに残る場合があります。提供元がヘッダーや公式SDKを指定しているなら、その方法を使います。漏えいが疑われたら、ファイルから消すだけでなくキーを失効します。

守るべき値全体の考え方はシークレットとは何かへ、保管・ローテーション・事故対応は個人開発の秘密情報を安全に管理するへ進みます。