APIキーの無効化と交換

APIキーを1つ無効化すると、その認証情報が使えなくなります。アカウントのパスワード、ブラウザのセッション、無関係なキーは変わりません。継続性と即時の被害抑制のどちらを優先するかに応じて、交換の順序を選んでください。

手順

1. プロフィール → API（APIキー）を開き、クライアントのわかりやすい名前または表示されているdos_····プレフィックスで検索し、行を展開してください。操作する前に権限、プロトコル、アクセス範囲、作成日時、有効期限、最終使用を比較してください。
2. キーを使用しているクライアントまたはスケジュール済みジョブを停止してください。WordPress以外のキーの場合は、重複した設定を作成を選び、範囲を絞った交換用キーを作成してください。一度だけ表示されるシークレットをコピーし、クライアントを更新して、許可される操作と拒否される操作の両方を確認してから古いキーを無効化してください。wp_siteの行には重複した設定を作成操作がありません。代わりにWordPressプラグインからそのサイトを再接続してください。
3. 漏えいが疑われる場合は、両方のキーを併用する期間を設けず、公開されたキーを先に無効化してください。一時的な停止が発生します。交換用キーには読み取り専用、アップロードのみ、フルアクセスのいずれかを選び、プロトコル、ワークスペースまたはフォルダーのアクセス範囲、IP範囲、利用可能時間、有効期限を設定できます。
4. 該当する行で招待を取り消すを選択してください。このボタンはAPIキーを無効化します。**「name」を無効化しますか？**でAnything still using it stops working immediately. This can't be undone.を確認し、招待を取り消すを選択してください。この操作で行は完全に削除されますが、画面で完了が表示された後も、キャッシュされた認可が短時間残ることがあります。
5. **APIキーを無効化しました。**とAnything still using them will be refused from now on.を確認してください。dosyaはAPIキーのキャッシュと紐付いたS3アクセスキーのキャッシュの無効化を開始します。別のワーカーアイソレートまたはエッジキャッシュでは、エントリの期限が切れるまでキャッシュされた認可が使われることがあります。
6. 使用を終了したシークレットで無害なリクエストを送り、認証が拒否されるまで確認してください。APIキーのキャッシュの保持期間は最長5分です。その間は古いクライアントを停止したままにし、テスト済みの交換用キーでのみ再開してください。

Freeアカウントで保持できるAPIキーは3件で、ユーザーあたりの絶対上限は20件です。作成後にキーを編集することはできません。wp_siteキーを無効化すると、そのキーが唯一の認証情報であるため、該当するWordPressサイトも切断されます。

期待される結果

古い行が**API（APIキー）**から消え、キャッシュの無効化が始まり、使用を終了したシークレットは5分以内に拒否されます。通常の交換では、交換用キーにはコピーした制限だけが保持され、境界のテストに合格します。緊急時のローテーションでは、拒否を確認するまで古いクライアントを停止したままにします。

**無効化できませんでした。**の場合、結果は不明です。一覧を再読み込みしてください。行が残っている場合はクライアントを停止して再試行してください。行がない場合は、交換用キーを重複して作成せず、古いシークレットをテストしてください。

交換用キーを作成できない場合。 dosyaがThe free plan allows 3 API keys. Delete one or upgrade for more.と表示した場合は、未使用のキーを外すか、アップグレードしてください。全体の上限に達した場合はMaximum of 20 API keys reachedと表示されます。

関連ガイド

• APIキーの作成と管理
• キーの権限を選ぶ
• 不審なアクティビティへの対応