API Hop

ドキュメント

API Hop ドキュメント

セキュリティと設定

API キーの作成、権限制御、ローテーション、およびセキュリティ対策。

API キーを保護するための基本原則は、外部に公開しないこと、権限を必要最小限にすること、定期的にローテーションすること、利用状況を追跡できるようにすることです。

API キーをどのように管理・保護すればよいですか？

推奨する対策：

  • API キーを公開リポジトリにコミットしたり、フロントエンドのページ、モバイルアプリのパッケージ、スクリーンショットに含めたりしないでください。
  • サーバー側で環境変数またはシークレット管理サービスから API キーを読み込んでください。
  • 開発、テスト、本番の環境ごとに別々の API キーを作成してください。
  • 追跡性と分離性を高めるため、サービスやアプリケーションごとに別々のキーを作成してください。
  • 必要に応じてモデルの権限を設定し、適切な場合には有効期限を設定してください。
  • API キーは定期的にローテーションしてください。担当者の変更、サービスの停止、漏えいの疑いがある場合は、直ちにローテーションしてください。

API キーが漏えいした可能性がある場合：

  1. 古いキーを直ちに無効化、削除、またはローテーションしてください。
  2. 新しいキーを作成し、そのキーを利用するすべてのサービスを更新してください。
  3. 最近の使用量、残高の変動、異常な支出を確認してください。
  4. モデルの権限を制限し、有効期限の短縮を検討してください。
  5. リポジトリ、ログ、CI 設定、サードパーティー製クライアントなど、漏えい経路を確認してください。

API キーが漏えいすると、不正な呼び出しや金銭的な損失につながる可能性があります。テスト用のキーも、本番環境の機密情報と同じように保護してください。

作成後に API キーの全文をもう一度確認できますか？

いいえ。API キーの全文は、作成が成功した際の画面でのみ表示されます。その後、コンソールにはマスキングされたプレビューのみが表示されます。

作成ダイアログを閉じる前に、サーバー側の環境変数またはシークレット管理サービスにキーを保存してください。紛失したキーは、ユーザー向け API からも管理者向け API からも復元できません。代わりのキーを作成して呼び出し元を更新し、その後で古いキーを削除してください。ドキュメントの AI 連携テンプレートでは <API_KEY> プレースホルダーを使用し、過去のキーは読み込みません。

API キーはどのように送信すればよいですか？

API キーはリクエストヘッダーでのみ送信してください。次の形式を推奨します。

http
Authorization: Bearer YOUR_API_KEY

次の形式も使用できます。

http
X-API-Key: YOUR_API_KEY

RequestBeam の API 認証情報を URL のクエリに含めないでください。認証情報を表す名前（apiKey、api_key、apikey、x-api-key、key）は、通常 HTTP 400 の原因になります。 Similarweb の業務パラメータに関する限定的な例外は、GET リクエストにのみ適用されます。 /v1/similarweb/websites/backlinks では、大文字の Key にホスト名を 1 つ指定できます。 /v1/similarweb/websites/outgoing-traffic、/websites/incoming-referrals、/websites/similar-sites/suggestions では、小文字の key にホスト名を 1 つ指定できます（いずれも /v1/similarweb 配下です）。これらのフィールドは対象のウェブサイトを識別するもので、API 認証情報ではありません。ホスト名は有効なものでなければなりません。重複、誤った大文字・小文字、認証情報のような値、追加の認証情報クエリフィールドは、引き続きブロックされます。 Similarweb のルートを含め、認証には必ずリクエストヘッダーを使用してください。 Similarweb のリクエスト例を参照してください。

この規則は、OAuth の token、apiKeyId、username、pagination_token など、その他の業務パラメータには影響しません。