期限が近いAPIキーのローテーション

ローテーションには両方のキーを使える期間が必要です。既存のキーが動作している間に交換用を作成して検証し、すべてのクライアントの移行後に古い認証情報を無効化してください。

ローテーションの前に

/profile/apiでプロフィール → API（APIキー）を開き、期限が近いキーを展開してください。画面では将来の日付が有効期限：日付と表示され、30日以内に期限が切れるキーが強調表示されます。期限切れのキーも無料プランの上限3件と絶対上限20件に含まれます。

キーは編集できません。重複した設定を作成で交換用の下書きが開きますが、有効期限は有効期限なしから始まります。また、一覧のエンドポイントが保存された使用量制限を返さないため、制限は空欄になります。S3シークレットはコピーされません。

手順

1. 古いキーを使用するすべてのクライアントを洗い出し、プロトコル、ワークスペース、フォルダーの範囲、IPまたは利用可能時間の制限、dosya以外に記録された使用量の上限を確認してください。
2. 重複した設定を作成を選択し、ローテーションを識別できる名前に変更してください。すべての欄が複製されたと考えず、制限と有効期限を確認してください。
3. 1分あたりのリクエスト数、1日あたりのダウンロード量、最大ファイル容量、同時転送数の制限を再入力し、30日後に有効期限切れ、90日後に有効期限切れ、有効期限なしを意図的に選択してください。
4. キーを生成を押し、一度だけ表示される**「キー名」の準備ができました。**という見出しのダイアログからdos_…シークレットをコピーしてください。クライアントがS3ゲートウェイを使用する場合は、別途新しいS3認証情報を作成してください。
5. 交換用をクライアントに1つずつ導入し、以前のシークレットを削除する前に、実際に許可されたリクエストと想定どおりのアクセス範囲を確認してください。
6. 古い行を展開して招待を取り消す（この画面ではAPIキーを無効化する操作です）を選択し、元に戻せないことを示す警告を読んで確定してください。交換用が引き続き動作し、廃止した認証情報が拒否されることを確認してください。

タイミングと復旧

認証時にはキーの読み込み時に有効期限を確認しますが、認証キャッシュは300秒間保持されます。表示された期限を停止時刻と考えて早めにローテーションし、キャッシュによるアクセス延長に依存しないでください。無効化すると行が元に戻せない形で削除され、RESTとS3のキャッシュ項目の削除が予約されます。古いクライアントを停止し、キャッシュされた認証が消えるまで最大5分待って拒否を確認してから、廃止したシークレットがどこでも使えなくなったと判断してください。

無料アカウントにキーが3件ある場合、未使用のキーを削除するかアップグレードすると空きができます。すべてのプランで絶対上限は20件のため、20件に達した場合は未使用と確認した認証情報を削除する必要があります。アップグレードしても上限は上がりません。安全な交換手順を確保するまでは、空きを作るためだけに使用中のキーを無効化しないでください。

結果の確認

連携が新しく生成したシークレットと再設定した制限で動作します。古いキーは使用されておらず、元に戻せない無効化の後は認証エラーを返します。

関連ガイド

• REST APIクイックスタート
• Webhookの配信を確認する