APIキーは、あなたのアカウントでAPIを使うための秘密の文字列です。他人に知られると、あなたの費用で勝手に使われます。コードに直接書かない・公開しない・漏れたらすぐ無効にするの3つが鉄則です。
安全な管理方法
- コードに直接書かず、環境変数や秘密情報の管理機能から読み込む
- .env などの設定ファイルは、Gitの管理から外す（.gitignore）
- Webページ（ブラウザ側のJavaScript）にキーを入れない。必ずサーバー側で使う
- 用途ごとにキーを分け、不要になったキーは削除する
- 利用上限を設定し、使用量を定期的に確認する
- アカウントに二段階認証を設定する（二段階認証）
漏れてしまったら
- 管理画面で、そのキーをすぐに削除（無効化）する
- 新しいキーを作り、プログラムの設定を差し替える
- 使用量の履歴に、身に覚えのない利用がないか確認する
- GitHubに公開した場合は、履歴からも消す（消してもキーの無効化が最優先）
「APIキーを入力すれば無料で使える」とうたうサイトやアプリに、キーを入力しないでください。キーの盗用につながります（ChatGPTを装った詐欺）。