読み：えーぴーあいきー ／ 分野：IT・システム
APIキーとは、外部のシステムやサービスを利用する際に、利用者を識別・認証するための文字列です。
APIキーとは、ソフトウェア同士が情報をやり取りする窓口である「API」を使う際に、利用者や利用システムを識別するために発行される文字列です。パスワードに近い役割を持ち、これを提示しないとサービスを利用できない仕組みになっています。
意味
API（Application Programming Interface）は、あるシステムの機能やデータを、別のシステムから呼び出せるようにする仕組みです。地図情報や決済処理、天気予報など、外部企業が提供する機能を自社サービスに組み込む際によく使われます。
このとき、誰でも無制限に使えてしまうと、提供側はサーバーの負荷管理や利用料金の請求ができません。そこで利用者ごとに固有の文字列を発行し、利用のたびにこれを送ってもらうことで、誰がどれだけ使ったかを管理します。この文字列がAPIキーです。英数字を組み合わせた長い文字列で発行されることが一般的です。
APIキーは契約者本人であることを示す鍵の役割を果たすため、第三者に漏れると、なりすまして利用されたり、高額な利用料金を請求されたりする危険があります。そのため、発行元はキーの管理方法について注意喚起をしていることが多くあります。
使われる場面と具体例
- 自社サイトに地図を埋め込みたい担当者が、地図サービス提供会社からAPIキーを取得し、システムに設定して地図表示機能を有効にする。
- 経理担当者が会計ソフトと銀行口座を自動連携させる際、銀行側が発行するAPIキーを会計ソフトに登録して、入出金データを自動取得する。
- 開発会社が顧客管理システムとメール配信サービスを連携させる開発を行う際、メール配信サービスのAPIキーを設定に組み込み、顧客登録時に自動でメールが送られるようにする。
中小企業が押さえたい点
- APIキーはパスワードと同様に機密情報として扱い、ソースコードや資料に直接書き込まず、安全な場所に保管する必要があります。
- 利用量に応じて料金が発生するサービスも多いため、想定外の大量アクセスが起きていないか、利用状況を定期的に確認することが望まれます。
- 担当者の退職や契約終了の際にAPIキーを無効化・再発行できる体制を整えておくと、情報漏洩のリスクを抑えられます。
よくある誤解
- APIキーを設定すれば自動的にセキュリティが保たれると考えがちですが、キー自体が漏れれば不正利用を防げません。
- APIキーとログインパスワードを混同しやすいですが、APIキーはシステム同士の連携用であり、人が画面にログインするためのものとは用途が異なります。
よくある質問
Q. APIキーは誰が発行するのですか。
A. 利用したい外部サービスの提供会社が、利用者の申請に応じて発行します。
Q. APIキーが漏れてしまった場合はどうすればよいですか。
A. 速やかにサービス提供元の管理画面などから無効化し、新しいキーを再発行する対応が必要です。
Q. APIキーは無料で使えますか。
A. サービスによって異なり、無料枠がある場合と、利用量に応じて料金が発生する場合があります。
関連する用語
関連記事
ほかの用語を探す
