API キー.

サービスが発行する静的なシークレット文字列。呼び出し元を識別・認証するため、各 API 呼び出しのヘッダーやクエリで送信される。 サイバーセキュリティの ID とアクセス カテゴリに属します。

サービスが発行する静的なシークレット文字列。呼び出し元を識別・認証するため、各 API 呼び出しのヘッダーやクエリで送信される。

API キーは、バックエンド API に対してプロジェクト、サービスアカウント、開発者を識別する長いランダム文字列です。発行も利用も簡単ですが、保証は弱いものです。識別対象は呼び出し元でありエンドユーザーではなく、既定では失効せず、紐づいた権限がそのまま付与されます。ベストプラクティスはシークレットマネージャでの保管、クライアントコードや公開リポジトリへの埋め込み禁止、最小スコープ、IP や Referer による制限、定期的なローテーション、漏洩時の即時失効です。エンドユーザー認可や重要操作には OAuth 2.0、mTLS、あるいは署名付きリクエストを使ってください。

API キー に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。