Skip to main content

​
APIキー作成手順

  1. ダッシュボードから「APIキー」を選択
  2. 「新規作成」をクリック
  3. キー情報と有効期間を入力（通常は90日を推奨）
  4. 必要なスコープを1つ以上選択
    • チェックしたスコープだけが付与されます
    • スコープは作成時のみ付与でき、後から変更できません
    • 各機能に必要なスコープはSDKs / API Referenceをご参照ください
  5. 「保存する」をクリック
  6. 本人確認が求められたら、ログイン画面で同じアカウントの再認証を完了
発行には通常のログインによる再認証が必要です。パスキーの登録や復旧コードは不要です。 再認証の確認結果は15分未満に限り有効で、一回の発行に使用できます。続けて発行する場合は再認証します。 キーの削除時も、有効な確認結果がなければ通常再認証を求めます。 APIキーの権限はスコープだけで決まります。一覧に表示される「旧role（監査）」は 既存キーの記録用であり、アクセス可否の判定には使われません。 期限は90日、180日、365日から選べます。「有効期限なし」はtenantのownerまたはadminだけが 選択でき、発行時の再認証に加えてリスク確認が必要です。無期限キーには管理画面で 警告が表示され続けるため、可能な限り期限付きキーを利用してください。

​
APIキーからAPIキーを発行する

CI などの自動化から発行したい場合は、apikeys:issue スコープを付けたキーを ダッシュボードで作成し、期限必須のPOST /api-keys/expiring （SDK: client.api_keys.create_expiring、CLI: qaip api api-keys.create-expiring）を呼び出します。 Idempotency-Keyには発行試行ごとに一意な値を指定してください。 発行されるキーは必ず呼び出し元より弱くなります。
  • 付与できるのは、呼び出し元のキーが持つスコープの部分集合だけです
  • apikeys:issue 自体は付与できません（発行したキーはさらに発行できません）
  • external_data:* は付与できません（ダッシュボードからの発行が必要です）
  • key_kindは呼び出し元と同じpersonalまたはservice_accountに限られます
  • 有効期間は5分以上365日以下です
生成されたAPIキーは一度しか表示されません。必ず安全な場所に保存してください。
最初の成功応答を受信できなかった場合、同じrequestとIdempotency-Keyで再送すると 409 credential_already_createdと非機密のapi_key_idが返ります。平文キーを再表示することは できません。そのIDをDELETE /api-keys/{api_key_id}で失効し、新しいIdempotency-Keyで 再発行してください。

​
ローテーションと漏洩対応

ローテーションでは、先に新しいキーを発行して利用先へ配布し、疎通確認後に旧キーを失効します。 同じ主体に複数のactiveキーを持てるため、無停止で切り替えられます。漏洩が疑われる場合は 切り替えを待たず、発行元キーから対象IDを直ちに失効してください。詳しい手順は Public API key rotation runbook を参照してください。

​
旧無期限発行API

POST /api-keysは既存clientの「期限省略 = 無期限」という挙動を維持していますが、2026-09-02から 非推奨です。応答にはDeprecationと移行先のLink headerが付きます。retirement日はまだ設定されて いないためSunset headerは返しません。新規実装では使用せず、期限付き発行へ移行してください。