APIキー

アプリケーションプログラミングインターフェース（API）キーは、ユーザー、開発者、または呼び出しプログラムをAPIに対して認証および認可するために使用される秘密の一意の識別子です。^{[ 1 ] [ 2 ]}

Google Cloud PlatformやAmazon Web Servicesなどのクラウドコンピューティングプロバイダーは、APIキーは人間のユーザーではなく、プロジェクトの認証にのみ使用することを推奨しています。^{[ 3 ] [ 4 ]}

API キーは一般的に安全とはみなされていません。通常、クライアントがアクセスできるため、API キーを盗むのは容易です。キーには有効期限がないことが多く、盗まれたキーは取り消しまたは再生成されない限り無期限に使用できます。^{[ 6 ]}キーはクライアントとサーバーのみが知っている秘密であるべきなので、安全でないチャネルを介して通信すべきではなく、 HTTPSなどの他のセキュリティ メカニズムと組み合わせて使用​​する場合にのみ安全とみなされます。^{[ 5 ]}

APIキーを使用する際には、いくつかのリスクシナリオが考えられます。

• 開発者は、平文でキーを含むスクリプトを作成する可能性があります。^{[ 2 ]}
• 開発者はソースコードにキーをハードコーディングし、コードをリリースする際にそれを忘れてしまうことがある。^{[ 2 ]}
• モバイルアプリに保護されていないキーがあると危険です。^{[ 2 ]}

これらのリスクは一般的に、鍵が平文で保存されているため、攻撃者がアクセスできる可能性があることに起因します。^{[ 2 ]}

2017年、デラウェア州に拠点を置くセキュリティ企業Fallibleは、16,000個のAndroidアプリを調査し、 Dropbox、Twitter、SlackなどのサービスのハードコードされたAPIキーを含む300個以上のアプリを特定しました。^{[ 7 ]}

• APIキーを使用する理由とタイミング