APIキーの取り扱いとセキュリティ

【APIキーの発行・失効】

管理画面からAPIキーを発行・失効する機能は提供していません。

発行・失効のご依頼はサポートまでお問い合わせください（#GEN-008 参照）。

【APIキーに設定できる制限】

発行時に、以下の制限を設定できます。ご希望の内容をサポートへお伝えください。

・スコープ（アクセスを許可するデータの範囲）

・接続元IPアドレスの許可リスト

・1分あたりのリクエスト上限（レート制限）

・有効期限

【安全な取り扱いのポイント】

① 最小権限の原則

・必要最低限のスコープのみを設定してください

・接続元が固定できる場合は、IP許可リストを併せて設定してください

② 有効期限の設定

・有効期限なしのキーは避け、定期的に更新してください

③ 安全な保管

・ソースコードに直接書き込まない

・環境変数またはシークレット管理サービスに格納する

④ 不要になったキーの失効

・利用を終えたキーは、サポートへ連絡して失効させてください

【漏洩が疑われる場合】

APIキーが漏洩した可能性がある場合は、ただちにサポートへご連絡ください。該当のキーを失効させます。

あわせて操作ログを確認し、不審なアクセスがないか確認してください（#GEN-197 参照）。

【Webhookについて】

WorkVellから外部URLへイベントを送信するWebhook機能は提供していないため、署名の検証を行う必要はありません（#ENG-027 参照）。