APIキーとは

APIキーとは、APIを呼び出すときに、どの利用者からの依頼かを相手のサービスに示すために発行される文字列のことです。読み方は「えーぴーあいきー」です。

サービスの側は、届いたキーを見て「誰の依頼か」「何を許すか」「利用量をどのアカウントに記録するか」を決めます。つまりキーは、身分証と請求先を兼ねています。キーを手に入れた人は、そのアカウントの名義でAPIを呼べてしまいます。

パスワードとの違いは、使う主体です。パスワードは人がログインするときに打ち込み、APIキーはプログラムがリクエストのたびに送ります。人の目に触れずに使われ続けるぶん、漏れても気づきにくい性質があります。

• 発行する：サービスの管理画面でキーを作成します。名前、権限、有効期限、使えるプロジェクトなど、選べる項目はサービスごとに違います。
• 保管する：表示されたキーを、パスワード管理ツールなど安全な場所に控えます。チャットやメモ帳に貼ったままにしません。
• 読み込ませる：プログラムには環境変数経由で渡し、コードには書きません。
• 送る：プログラムはリクエストのヘッダーにキーを付けて送り、サービスがそれを照合します。

筆者は「1つのアプリに1本、開発用と本番用も別」に発行する形をすすめます。1本を止めても他に影響が出ず、どこから漏れたかも絞り込みやすくなるからです。

OWASP のSecrets Management Cheat Sheetは、秘密情報の扱いに最小権限の原則を当てはめるよう求めています。APIキーで言えば、読み取りだけで済む用途に書き込みの権限を付けない、使うプロジェクトだけに範囲を限る、ということです。

同じ資料は、秘密情報を定期的に入れ替える（ローテーションする）ことも挙げています。盗まれたキーが使える期間を短くするためです。有効期限を設定できるサービスなら、期限付きで発行しておくと入れ替えを忘れにくくなります。

AIコーディングエージェントに開発を任せるときは、キーの値そのものを会話に貼らないようにします。.env に置き、エージェントには「環境変数 API_KEY から読む形で書いて」と頼めば、値を見せずに実装を進められます。

エージェントが作った差分に、キーの文字列が紛れていないかも確かめます。シークレットスキャンの説明（GitHub Docs）によると、GitHub はパブリックリポジトリでは無料で自動的にスキャンを行い、Git 履歴全体からキーの類を探します。提携しているサービスのキーが見つかった場合は、提供元に通知されます。

コミットしてしまった、画面共有で映してしまった、と気づいたら、次の順で動きます。

• 1. 失効させる：管理画面でそのキーを無効化します。リポジトリからの機微データの削除（GitHub Docs）も、最初の手順として失効かローテーションを挙げています。
• 2. 差し替える：新しいキーを発行し、使っている場所をすべて更新します。
• 3. 利用履歴を見る：管理画面の利用量や請求の記録に、心当たりのない呼び出しがないかを確かめます。
• 4. 履歴から消す：同じ資料は、履歴を書き換えてもクローンやフォーク、キャッシュに残る場合があり、削除は保証されないと注意しています。失効を先に済ませるのはこのためです。

• 誤解：非公開リポジトリなら入れても安全 → 実際：共同作業者や連携ツールからも読めますし、後で公開に切り替えることもあります。最初からコミットしないのが確実です。
• 誤解：コミットを消せばキーは使えなくなる → 実際：キーはサービス側で失効させるまで有効です。消したつもりでも、コピーが残っていれば使われます。
• 誤解：ブラウザー側のコードに入れても見えない → 実際：ブラウザーに届くコードは、利用者が開発者ツールで読めます。キーを使う処理はサーバー側に置きます。

• 環境変数
• レートリミット
• データプライバシー
• API
• フロントエンド/バックエンド
• リポジトリ

• AIが生成したコードのセキュリティ確認：最低限のチェックリスト
• AIコーディングエージェント導入のセキュリティチェックリスト2026
• Git/GitHub入門：AIコーディング時代になぜ履歴管理が必須か

• Secrets Management Cheat Sheet（OWASP Cheat Sheet Series）
• シークレットスキャンについて（GitHub Docs）
• リポジトリからの機微データの削除（GitHub Docs）

Q1. APIキーとは何ですか？
APIを呼び出すときに、どの利用者からの依頼かを相手のサービスに示すために発行される文字列です。サービスはキーを見て、許可する操作と利用量を記録するアカウントを決めます。

Q2. APIキーはどこで発行しますか？
使いたいサービスの管理画面で発行します。アカウントを作ったあと、キーの作成画面で名前や権限を選ぶ形が一般的です。選べる項目はサービスによって違うので、提供元の説明を確かめます。

Q3. APIキーをGitHubに上げてしまいました。まず何をすればよいですか？
最初に、サービスの管理画面でそのキーを失効させます。次に新しいキーを発行して差し替え、利用履歴に覚えのない呼び出しがないかを確かめます。履歴からの削除はその後です。書き換えてもクローンやフォークに残る場合があるためです。

Q4. APIキーとパスワードは何が違いますか？
パスワードは人がログインするときに入力し、APIキーはプログラムがリクエストのたびに送ります。キーは人の目に触れずに使われ続けるので、漏れても気づきにくい点に注意が要ります。

Q5. APIキーは定期的に替えたほうがよいですか？
替えられるなら替えることをすすめます。入れ替えておけば、気づかないうちに盗まれていた場合でも、そのキーが使える期間を短くできます。有効期限を設定できるサービスでは、期限付きで発行すると忘れにくくなります。