API（エーピーアイ）キー | 用語集

まずこれだけ

APIキーは、API（エーピーアイ）を使うプログラムが「利用を許可された相手です」と示すための秘密の文字列です。人がサービスに入るときのパスワードに近い役割ですが、ログイン画面で毎回入力するものではなく、アプリやサーバーの設定として使われることが多いです。持っているだけで料金のかかる機能を使えたり、保存されたデータを読めたりする場合があるので、「長い英数字だから意味が分からないもの」ではなく「鍵そのもの」として扱います。

どこで見かけるか

AI（エーアイ）サービス、地図サービス、決済サービス、メール配信サービス、翻訳サービスなどを別のアプリから使う設定画面で見かけます。「API Key（エーピーアイキー）を発行する」「シークレットキーをコピーする」「環境変数に設定する」といった案内が出てきたら、この話です。GitHub（ギットハブ）の画面、README（リードミー）、共有資料、スクリーンショットにそのまま載せてはいけません。

具体例

たとえば研究会のサイトに「入力された文章をAIで要約する」機能を付けるとします。画面の裏側にあるプログラムは、AIサービスの API（エーピーアイ）に「この文章を要約してください」と依頼します。そのときAPIキーを添えることで、AIサービスは「この依頼は許可された利用者から来た」と判断します。鍵は利用者のブラウザへ渡さず、サーバー側や秘密情報を管理する場所に置き、必要な処理だけが一時的に読めるようにします。

つまずきやすいところ

APIキーは削除しただけでは安全にならないことがあります。いったん公開された可能性があるなら、そのキーを無効化して新しく作り直す「ローテーション」が必要です。また、1つの強いキーを何にでも使うと被害が広がります。できるだけ権限を狭くし、使う場所を分け、不要になったキーは止めます。チャットで相談するときも、先頭や末尾だけでも貼らないほうが安全です。

研究会では

AIを使った Web（ウェブ）アプリや自動化を試すときに必ず出てくる用語です。便利さより先に、秘密情報の置き場所と扱う人を決めます。「誰のキーか」「何に使ってよいか」「漏れたら誰が止めるか」を確認してから作業すると、開発や公開の相談が落ち着いて進められます。