API キーを安全に使用する

API キーは有効期限がなく、誰も監視していないパスワードです。そのように扱ってください。

必要な権限のみを付与してください

連携ごとにキーを作成し、その連携が使用する権限のみを割り当ててください。デプロイスクリプトに請求情報へのアクセス権は不要であり、モニタリングツールがサイトを削除する必要はありません。問題が発生した場合でも、限定的なキーであれば被害を最小限に抑えられます。

コードに含めないでください

公開リポジトリであれプライベートリポジトリであれ、リポジトリにキーをコミットしないでください。リポジトリはフォーク、クローン、バックアップ、誤共有される可能性があり、スキャナーはプッシュから数分以内にキーを検出します。環境変数やご利用の CI プロバイダーのシークレットストアを使用してください。

心配するよりもローテーションを行ってください

チャット、チケット、スクリーンショット、またはログにキーを貼り付けてしまった場合は、キーを置き換えてください。新しいキーを作成し、連携を切り替えてから、古いキーを削除します。この順序で行うことで、切り替え中のサービス中断を防ぐことができます。1分程度で完了し、不安を完全に解消できます。

動作を監視してください

キーによるすべての呼び出しは、キー名とともに Activity に表示されます。廃止したはずのキーがまだ呼び出しを行っている場合、それは把握しておくべき重要な情報を意味します。

削除

キーの削除は即座に有効になります。そのキーを使用しているものはすべて401を受け取り始めますが、それこそが目的です。