APIキー

APIキーとは

APIキーは、APIを利用するときに本人確認・課金管理に使われる認証用の文字列です。「誰のリクエストか」を識別するための"鍵"にあたります。

AIベンダーの管理画面で発行し、プログラムに設定してAPIを呼び出すときに送信します。

漏えいするとどうなるか

APIキーが第三者に知られると、以下のリスクが現実になります。

• 不正利用: 第三者があなたのアカウントでAPIを叩く
• 高額請求: 使用量に応じた料金を払わされる
• データ漏えい: キーと併せて処理対象データも扱われる場合、情報漏えいに発展
• サービス停止: 上限到達でAPIが止まり業務影響

安全な管理方法

• ソースコードに直接書かない（Gitリポジトリに残り流出しやすい）
• 環境変数やシークレット管理サービス（Vault、AWS Secrets Manager等）で管理
• 最小権限のキーを発行（用途ごとにスコープを絞る）
• ローテーション: 定期的に更新、退職者が出たら即無効化
• レート上限・使用上限を設定し、万一の被害を最小化
• ログ監視: 不審な使用量急増を検知

士業事務所での注意点

業務システムにAIを組み込む場合、APIキーを業務担当者が個別管理しない運用に。IT担当やベンダー経由で一元管理し、誰がいつ何に使ったかを追えるログ体制を整えましょう。