APIキーの保護

APIキーは、APIを呼び出すクライアントを識別し、認証する秘密の文字列です。

キーを持っている人は誰でもそのクライアントとして操作できるため、キーは秘密にしておく必要があります。

APIキーはパスワードと同じように慎重に扱ってください。

キーが漏えいすると、攻撃者はリクエストを実行し、コストを膨らませ、信頼されたクライアントに見せかけたままデータにアクセスできます。

よくある間違いは、キーをコードに直接記述することです。

このキーはリポジトリや履歴に残るため、アクセス権を持つ人なら誰でも読み取れます。

キーは環境変数に保存し、コードの外で管理してください。

シークレットはソースファイルではなく、環境内に保存されます。

シークレットファイルがコミットされないよう、.gitignoreに追加してください。

キーを一度でもコミットした場合、後から削除するだけでは不十分です。キーをローテーションする必要があります。

フロントエンドやモバイルのコードに秘密鍵を埋め込まないでください。

誰でもアプリを調査してキーを取り出せます。秘密鍵はサーバー上で管理し、そこからサードパーティAPIを呼び出してください。

本番環境では、専用のシークレットマネージャーにキーを保存してください。

Vaultやクラウドのシークレットサービスなどのツールは、キーを暗号化し、アクセスを制御し、誰が読み取ったかを記録します。

各キーには、必要な権限だけを付与してください。

読み取り専用のキーであれば、漏えいしてもデータを削除できません。スコープ設定によって、1つのキーが侵害された場合の被害を抑えられます。

ローテーションとは、スケジュールに従ってキーを交換し、漏えいの疑いがある場合は直ちに交換することです。

有効期間の短いキーを使うと、盗まれたキーが攻撃者にとって有効であり続ける期間を短縮できます。

特定のIPやドメインからのアクセスだけを許可して、キーをさらに厳しく制限してください。

そのうえで使用状況を監視します。予期しないトラフィックや新しい場所からのアクセスによって、キーの盗難に気づけることがあります。

キーが漏えいした場合は、すぐに対応してください。

• 古いキーを直ちに無効化してください
• 新しいキーを発行してください
• 悪用されていないかログを確認してください

迅速に対応するほど、漏えいしたシークレットによる被害を抑えられます。

本番環境のWebアプリでは、秘密のAPIキーをどこに保存すべきですか。

APIキーはパスワードと同じように保護してください。コードやGitに含めず、環境変数またはシークレットマネージャーに保存し、最小権限に合わせてスコープを設定し、ローテーションし、使用を制限して監視し、漏えいしたキーは速やかに無効化します。