API キー

API キーは、Web API へのリクエストを認証するために開発者やアプリケーションに割り当てられる文字列です。ユーザーのパスワードと違い、API キーは通常プログラムからのアクセスを許可します。つまり、キーが漏えいすると、そのサービスが自動化された大規模な悪用にさらされます。

API キーをソースコードに直接埋め込んだり、バージョン管理に保存したり、暗号化されていない経路で共有したりしてはいけません。推奨されるのは、環境変数、シークレットマネージャー、またはアクセス記録が残るチーム向けパスワードマネージャーでの保管です。

複数の SaaS 連携を扱うチームでは、共有金庫を使うことで、必要な人が API キーを利用できる状態を保ちながら、誰がどのキーにいつアクセスしたかの監査履歴も残せます。