API キーの安全な管理

API キーの準備

アバターメニューの Settings から個人センターの API Key を開きます。有効キーは一つで、再生成すると旧キーは即時無効、全文表示は一度だけです。毎回 X-API-Key、POST は Content-Type: application/json を送ります。Web JWT、Cookie、Device-ID、hash、platform は不要で、Bearer は代替できません。

API キーの安全管理

キーはサーバー環境変数や秘密管理に保存し、フロント、公開リポジトリ、クライアントに入れません。URL、本文、ログ、問い合わせに記載しないでください。例は API_KEY を使います。漏えい時は即時再生成/無効化し全呼び出し元を更新します。

エラーと再試行

400 は引数、401/403 はキーやアカウント、409 は競合を解決、429 は間隔を空けます。読み取りは枠内で再試行可。書き込みの公開冪等キーはなく、タイムアウトや 500 後は先に受理状況を確認します。アプリなし、版違い、送信失敗も 500 / PUBLIC_API_INTERNAL_ERROR となる場合があり、未実行の証拠ではありません。

検証とサポート

問い合わせに request_id、パス、HTTP、reason、日時、機密情報を除いた引数を添え、キーは送らないでください。読み取りから検証し、許可されたテスト端末で書き込み、結果確認後に規模を増やします。

関連記事

• Public API 利用ガイド
• トラブル対応と問い合わせ