設定とサポート · 連携
許可アプリと API キーの設定
ブラウザーオリジンを登録し、サーバー側認証情報のライフサイクルを安全に管理します。
正しい連携設定を選ぶ#
- Allowed Apps はブラウザーホストとオリジンを登録し、承認済み Web アプリからの要求を許可します。
- API Keys はサーバー側 REST 要求を認証します。生のキーをブラウザー JavaScript やモバイルアプリに含めないでください。
- 対話型フロントエンドには許可オリジン、バックエンド要求には別に保護したサーバー認証情報が必要な連携もあります。
- 設定後のパスと例は Headless・API ガイドを参照します。
許可アプリを登録する#
- 「設定（Settings）→ アプリと API キー（Apps and API Keys）」を開く
「アプリを追加（Add App）」を選びます。
- 識別できる名前を入力する
秘密情報を含めず、アプリの所有者と目的が分かる名前を使用します。
- ホストとオリジンを入力する
必要に応じてスキームとポートを含む正確な値を使用し、パスや認証情報を追加しません。
- 安全な説明を追加する
非公開トークンや顧客データを含めず、目的と環境を説明します。
- 保存して反映を待つ
登録と状態を確認します。変更反映には約30分かかる場合があります。
アプリを無効化または削除する#
- 利用中のクライアントを確認する
変更前に、そのオリジンを使うアプリと環境を確認します。
- 一時停止には無効化を使う
画面が対応している場合、記録を残して受付を停止するには有効状態を切り替えます。
- 廃止後に削除する
アプリの利用が終了し、ロールバック不要になってから削除します。
- 対象ブラウザーからテストする
承認アプリだけが成功し、未承認オリジンがブロックされることを確認します。
API キーを作成して保存する#
- 「API キーを作成（Create API Key）」を選ぶ
一つのサービス・目的に対応する名前を入力し、必要に応じて有効期限を選びます。
- 一度だけ作成する
フォームを送信し、一度だけ表示される秘密情報を待ちます。
- 生のキーを直ちにコピーする
サーバー側のシークレットマネージャーに保存します。後でマスク済み一覧から完全な値は復元できません。
- 秘密情報表示を閉じる
生値を表示せず、名前、状態、作成日時、最終利用、有効期限が一覧に表示されることを確認します。
- サーバー側でテストする
信頼済みサーバーから `Authorization: Api-Key YOUR_API_KEY` を送り、環境で案内された公開 API オリジンを使用します。
キーをローテーション・無効化・削除する#
- 最終利用と利用者を確認する
変更前にキーへ依存するすべてのサービスを特定します。
- 置き換えを作成または再生成する
新しい秘密情報を安全に保存し、利用者を一つずつ更新します。
- 置き換えを検証する
要求が成功し、新しいキーに期待する利用が記録されることを確認します。
- 古いキーを無効化する
ロールバック期間が必要な場合は先に可逆な inactive 状態にします。
- 不要になってから削除する
すべての利用者を移行し、ロールバック不要になってから削除します。