読み：べあらーにんしょう ／ 分野：IT・システム
通信時に提示するトークン（文字列）の所持だけで本人確認とする認証方式です。
ベアラー認証とは、API（システム同士が情報をやり取りする仕組み）利用時に、トークンと呼ばれる文字列を提示するだけで認証が通る方式です。トークンを持っている人（ベアラー＝持参人）が正当な利用者とみなされるため、この名前がついています。
意味
ベアラー認証では、サーバーが発行したトークンを通信のたびにリクエストへ添えて送ります。サーバー側はそのトークンが有効かどうかだけを確認し、本人かどうかの追加確認は行いません。IDとパスワードを毎回送る方式に比べて通信が簡潔になり、多くのWebサービスやクラウドサービスのAPIで標準的に使われています。一方で、トークンの仕組み上「持っている人＝正当な利用者」という前提があるため、トークンの管理そのものが安全性の要になります。トークンが第三者に渡ってしまうと、その人がなりすましてアクセスできてしまう点が特徴です。
使われる場面と具体例
- 社内の業務システム担当者が、外部クラウドサービスとデータ連携する際に、APIキー（接続用の識別情報）の代わりにベアラートークンを設定する場合があります。
- 開発会社がWebサイトやアプリに決済サービスや地図サービスの機能を組み込む際、サービス提供元から発行されたトークンを使って通信を認証します。
- 営業支援ツールや会計ソフトなど複数のSaaS（クラウド型サービス）を連携させる際、担当者がベアラー認証の設定画面でトークンを発行・登録します。
中小企業が押さえたい点
- トークンの保管場所を社内で明確にし、ソースコードやメールに平文で残さないよう運用ルールを決めることが大切です。
- トークンには有効期限を設定できるサービスが多く、期限切れや失効の仕組みを委託先や担当者に確認しておくと安心です。
- 退職者や契約終了先がトークンを保持したままにならないよう、利用終了時に必ず無効化する手順を決めておく必要があります。
- 外部委託でシステム連携を行う場合、トークンの発行・管理の責任分担を契約や仕様書で明確にしておくとトラブルを防げます。
よくある誤解
- 「IDとパスワードより安全」と単純に考えられがちですが、トークン自体が漏れればなりすましが可能なため、保管の仕組みが重要です。
- 「一度設定すれば終わり」と思われがちですが、有効期限切れや仕様変更でトークンの再発行が必要になる場合があります。
よくある質問
Q. ベアラー認証とAPIキーは何が違いますか。
A. どちらもトークンを使う点は共通ですが、ベアラー認証は通信の都度トークンを提示する標準的な方式の名称で、APIキーはその一種として使われることが多い用語です。
Q. トークンが漏れた場合どうすればよいですか。
A. サービス提供元の管理画面などから該当トークンを速やかに無効化し、新しいトークンを再発行して関係先に連絡します。
Q. 自社でベアラー認証の仕組みを作る必要がありますか。
A. 多くの場合は利用するクラウドサービスやAPI側で用意された仕組みを設定するだけで済み、自社開発が必要になる場面は限られます。
関連する用語
関連記事
ほかの用語を探す
