メインコンテンツにスキップ

APIキーのベストプラクティス：キーを安全に保つ

APIキーはClaude APIへのアクセスを可能にしますが、適切に処理されない場合、重大なセキュリティリスクをもたらす可能性があります。APIキーはあなたのアカウントへのデジタルキーです。クレジットカード番号と同様に、誰かがあなたのAPIキーを取得して使用した場合、あなたの代わりに料金が発生します。この記事では、APIキーを管理するためのベストプラクティスについて説明し、APIキーが安全に保たれ、Claude Consoleアカウントへの不正アクセスと料金を防ぐことができるようにします。

一般的なリスクと脆弱性

APIキーリークの最も一般的な原因の1つは、公開コードリポジトリまたはサードパーティツールでの偶発的な露出です。開発者は、プレーンテキストのAPIキーを公開GitHubリポジトリに誤ってコミットしたり、サードパーティツールに入力したりすることがあり、これは不正アクセスと関連するアカウントの潜在的な悪用につながる可能性があります。

APIキーセキュリティのベストプラクティス

1. 決してAPIキーを共有しないでください

  • 機密に保つ：個人のパスワードを共有しないのと同じように、APIキーを共有しないでください。Claude APIへのアクセスが必要な場合は、独自のキーを取得する必要があります。

  • 公開フォーラムでキーを共有しないでください：公開ディスカッション、メール、またはサポートチケット（あなたとAnthropicの間でも）にAPIキーを含めないでください。

  • サードパーティツールに注意してください：APIキーをサードパーティツールまたはプラットフォーム（Webベースの統合開発環境、クラウドプロバイダー、CI/CDプラットフォームなど）にアップロードする場合、そのツールの開発者にClaude Consoleアカウントへのアクセスを与えていることを考慮してください。それらの評判を信頼しない場合は、APIキーを信頼しないでください。

    • サードパーティプロバイダーを使用する場合、常にAPIキーを暗号化されたシークレットとして追加してください。コードまたは設定ファイルに直接含めないでください。

2. 使用状況とログを密接に監視する

Consoleでログページ（platform.claude.com/logs）と使用状況ページ（platform.claude.com/usage）を定期的に確認することをお勧めします。

  • カスタムレート制限APIオルグの場合：請求ページ（platform.claude.com/settings/billing）で支出制限を設定し、レート制限ページ（platform.claude.com/usage/limits）でワークスペースレート制限を設定してください。

    • これらの制限は、漏洩したキーまたは誤ったスクリプトによる予期しない使用に対するセーフガードとして機能します。

  • 標準レート制限APIオルグの場合：請求ページ（platform.claude.com/settings/billing）で自動リロードをオンにして設定してください。

    • この機能により、アカウントが自動的にファイルに登録されたカードに請求して使用クレジットを補充するしきい値を設定できます。

      • 自動リロード制限を慎重に検討してください。継続的なサービスを確保する一方で、漏洩したキーまたはコードの誤りから生じる予期しない高い使用に対するセーフガードとしても機能します。

3. 環境変数とシークレットを使用してAPIキーを安全に処理する

APIキーを安全に処理するためのベストプラクティスは、環境変数を使用して環境変数を安全に注入および共有することです。アプリケーションをクラウド環境にデプロイする場合、シークレット管理ソリューションを使用して、APIキーを環境変数経由でアプリケーションに安全に渡すことができます。これにより、APIキーを誤って共有することはありません。

dotenvを使用してシークレットをローカルに保存している場合、.envファイルをソース管理無視ファイル（gitの場合は.gitignoreなど）に追加して、機密情報を誤って公開配布することを防ぐ必要があります。クラウド環境では、dotenvファイルの代わりに暗号化されたシークレットストレージを優先してください。

Pythonの例：

1. プロジェクトディレクトリに.envファイルを作成します。

2. .envファイルにAPIキーを追加します：

ANTHROPIC_API_KEY=your-api-key-here

3. python-dotenvパッケージをインストールします：

pip install python-dotenv

4. PythonスクリプトでAPIキーを読み込みます：

from dotenv import load_dotenv

import os

load_dotenv()
my_api_key = os.getenv("ANTHROPIC_API_KEY")

5. アプリケーションをクラウドホスティング環境にデプロイしている場合、Claude APIキーを追加してアプリケーションと共有する方法についてのクラウドプロバイダーのドキュメントを参照してください（AWS、GCP、Azure、Vercel、Heroku）。一部のプロバイダーは、環境変数をアプリに安全に注入する複数の方法を提供しています。

4. APIキーを定期的にローテーションする

一貫したスケジュール（たとえば90日ごと）でAPIキーを定期的にローテーションし、新しいキーを作成して古いキーを無効化します。このルーチンは、キーが侵害された場合の潜在的なリスクを最小化するのに役立ちます。

5. 異なる目的に異なるキーを使用する

可能であれば、開発、テスト、本番環境に異なるAPIキーを使用してください。このようにして、使用状況を異なる内部ユースケースに関連付けることができます。APIキーが侵害された場合、そのユースケースだけを迅速に無効化し、潜在的な損害を制限することができます。

6. リポジトリをシークレットについてスキャンする

誤ってコミットされたシークレットについてソース管理リポジトリを定期的に確認してください。

開発ワークフローに定期的なシークレットスキャンを組み込むことで、コードリポジトリでのAPIキーおよび他の機密情報の偶発的な露出をキャッチして防ぐことができます。

7. セキュアなキー管理システム（KMS）を使用する

組織が拡大し、APIキーおよび他のシークレットの数が増加するにつれて、これらの機密認証情報を安全に管理することがより困難になります。ここでキー管理システム（KMS）が登場します。KMSは、APIキーを含むシークレットキーを保存、アクセス、管理するための一元化されたソリューションを提供します。

KMS使用の利点

  1. 一元化されたセキュリティ：すべてのシークレットを1つの安全で暗号化された場所に保存します。

  2. アクセス制御：きめ細かいアクセス制御を実装して、特定のキーを表示または使用できるユーザーを決定します。

  3. 監査証跡：コンプライアンスとセキュリティの目的で、シークレットへのすべてのアクセスと変更を追跡します。

  4. キーローテーション：セキュリティを強化するために、キーを定期的に簡単にローテーションします。

  5. 統合：多くのKMSソリューションは、一般的なクラウドプラットフォームと開発ツールと統合されています。

APIキー保護のためのAnthropicとGitHubのパートナーシップ

AnthropicはGitHubと直接提携して、GitHubのシークレットスキャンパートナープログラムを通じてユーザーに追加の保護層を提供しています。このパートナーシップは、誤って露出したAPIキーの悪用を防ぐためのプロアクティブなセキュリティ対策を提供します：

  • GitHubは、公開リポジトリで露出したClaude APIキーを積極的にスキャンします。

  • Claude APIキーが公開GitHubリポジトリで検出された場合、GitHubはすぐにAnthropicに通知します。

  • 潜在的な悪用を防ぐため、Anthropicは露出したAPIキーを自動的に無効化します。

  • 影響を受けたユーザーは、インシデントについてAnthropicから詳細なメール通知を受け取ります。

APIキーが侵害されたと思われる場合はどうすればよいですか？

APIキーが侵害された可能性があると思われる場合は、キーを直ちに取り消すことをお勧めします。Claude Consoleアカウントにログインし、APIキーページ（platform.claude.com/settings/keys）に移動して、問題のキーの横にあるメニュー（3つの水平ドット）をクリックし、「APIキーを削除」を選択することで実行できます。

詳細については、この記事を参照してください：APIキーが侵害されたと思われる場合はどうすればよいですか？

APIキーセキュリティは、セキュリティ対策の定期的な監視とレビューが必要な継続的なプロセスです。これらのベストプラクティスに従うことで、APIキーリークと不正アクセスのリスクを大幅に削減できます。

こちらの回答で解決しましたか？

関連記事

Anthropicヘルプセンター