APIキーとは？

APIキーとは、アプリがAPIへのリクエストのたびに一緒に送る文字列で、これによってサービスはどのアカウントが呼び出しているかを知ります。働きはパスワードではなく口座番号に近く、本人かどうかは誰も確認せず、キーを持っている側が所有者として扱われます。だからキーは公開コードの外に置かれ、漏れたときの対処はいつでも、そのキーを無効にして別のキーを発行することになります。

APIキーはリクエストの背後にあるアカウントを識別します。データや計算能力を使いたい企業が、それを売るサービスに登録するとキーを受け取ります。呼び出しのたびにサービスはキーを照会し、その企業のアカウントを見つけ、権限と課金を適用します。キーはパスワードではありません。誰も入力しませんし、1本を無効にしても誰も締め出されません。1つのアカウントはアプリごとに複数のキーを持て、それぞれ個別に失効させて置き換えられます。キーは捨てられるように作られています。名前に反して、鍵をかけることも暗号化することもしません。サービスが見覚えのある名前にすぎないので、どこに保管するかが何より重要になります。ウェブサイトやスマホアプリは利用者の端末に届けられるため、そこに書き込まれたキーも一緒に届き、少し調べる気がある人なら誰でも読めてしまいます。だから秘密にすべきキーは企業のサーバーに残します。アプリはサーバーに尋ね、サーバーがキーを持ってAPIを呼びます。漏れたキーはすぐに見つかって使われ、請求は登録した企業に届きます。対処はいつも同じで、失効させて新しいものを発行することです。

APIキーはフロントガラスに貼る有料道路のETCタグです。読み取り機は運転者を見ません。通過する車のタグを読み、そのタグが登録されているアカウントに請求します。1週間車を貸しても、料金はあなたのものです。タグをなくせば、それを自分のフロントガラスに貼った人があなたのアカウントで走り続け、電話して止めるまで続きます。手続きは数分で、車自体は何も変わりません。この仕組み全体が1つの物に収まっています。人ではなくアカウントを名指し、秘密ではなくアクセスを買い、そして交換される前提で作られています。