APIキー・認証

要約: APIキーはダッシュボードの「APIキーの管理」から無料で発行でき、用途ごとに複数発行できます。認証はBearerではなくケンオール独自のToken認証です。漏洩した場合はただちにキーを失効させてください。

1アカウントで複数のAPIキーを発行できますか？この見出しへのリンク

はい。本番用・検証用・サービス別など、用途ごとに分けて発行できます。鍵ごとに利用状況を集計できるため、内部の責任分界にも便利です。

なお、2022/08/31まで販売していた旧・郵便番号APIプランでは、公開キーとシークレットキーを1つずつまでしか作成できません。複数のAPIキーを利用したい場合は、現行のスタンダードプランへの変更をご検討ください。

APIキーが漏洩したらどうすればいいですか？この見出しへのリンク

公開キーはブラウザなどに露出する前提のキーで、Originヘッダーで許可ドメインを制限しているため、値を第三者に知られても直ちに問題にはなりません（許可ドメイン以外からのリクエストは拒否されます）。

一方、シークレットキーは秘匿が前提です。漏洩した、あるいはその疑いがある場合は、ただちにダッシュボードから該当キーを失効させ、新しいキーを発行してください。失効後の旧キーで送られたリクエストは拒否されます。

認証方式はBearerですか？この見出しへのリンク

いいえ、ケンオール独自のToken認証です。リクエストヘッダーは Authorization: Token YOUR_API_KEY の形式で、Bearer ではないので注意してください。

公開キーとシークレットキーの違いは？この見出しへのリンク

公開キー: 公開ページ（ブラウザ）用。Originヘッダーで設定したドメインからのみアクセス可能
シークレットキー: システム内部（サーバー）用。露出しないよう厳重に管理

Originヘッダーの設定とは何ですか？この見出しへのリンク

CORS（オリジン間リソース共有）の仕組みを使って、不正なAPIキーの利用を防いでいます。公開キーを利用するウェブサイトのドメイン名をあらかじめ指定してください。

例: https://example.com を許可Originに登録すると、それ以外のドメインからのリクエストはブラウザが拒否します。ドメイン名のみを入力してください (https:// などのスキームは付けません)。

CORSの仕組みについて詳しくは MDNのCORS解説を参照してください。

許可ドメインにワイルドカードは使えますか？この見出しへのリンク

通常のプランでは、許可ドメインは完全一致である必要があります。許可ドメインワイルドカードオプションをご購入の場合は、. で区切られたサブドメインにワイルドカード (*) を使えます。

*.foo.example.com
bar.*.example.com

* はそれが位置するサブドメイン1階層のみにマッチし、配下のサブドメインは暗黙には許可されません。たとえば *.foo.example.com は bar.foo.example.com を許可しますが、baz.bar.foo.example.com は許可しません (その場合は *.*.foo.example.com を追加してください)。また、foo*.example.com や *bar.example.com のように、サブドメイン名の一部にワイルドカードを使うことはできません。

APIキーの取得・作成・編集・複製・削除はどこで行いますか？この見出しへのリンク

アカウント登録後、ダッシュボード内の「APIキー管理」画面で、キーの取得・新規作成・編集・複製・削除をまとめて行えます。発行は無料で、登録から数分で利用開始できます。

APIキー管理画面

ログイン後、初期状態で公開キーが1つ自動生成されています
新規作成時に 名前 / 種類 / 有効期限 などを設定
編集可能な項目: 名前 (最大256文字)、Originヘッダー設定、有効期限、デフォルトバージョン、コメント (最大4096文字)
複製: 既存キーをコピーして新しいキーを作成
削除: 取り消し不可。一時的に無効化したい場合は 有効期限を過去日時に設定
有効期限: 設定可能な上限・下限があります。ダッシュボードのAPIキー管理画面でご確認ください

APIキー新規作成モーダル

APIキー編集モーダル

APIキー削除モーダル

注意

変更内容の反映には 約10分 かかる場合があります。

登録できるドメインの数に制限はありますか？この見出しへのリンク

ドメイン数に制限はありません。1つのアカウントで複数のドメインに共通してご利用いただけます。