IPAの注意喚起を、アプリ運用の行動に置き換える
アプリを守る。
API費用の暴走を止める。
公開している入口・アカウント・保有データを点検し、APIの秘密キーと利用枠を守るための読み物です。点検スキル「app-security」の要点を、読みやすくまとめました。
確認日：2026年10月15日 ／ IPA記事公開日：2026年10月9日
まず、この3つを押さえる
- 入口を守る。公開しているアプリ・外部サービス・データを点検します。
- 秘密キーを守る。お金のかかるAPIの合言葉を、利用者の画面に置きません。
- 使いすぎを止める。予算の通知だけでなく、APIを呼ぶ前に止める仕組みを確かめます。
まず、IPAが伝えていること 【一次】公式記事の要約
国内で情報漏えいが相次いでいるため、外部公開アプリ、利用中の外部サービス、保有データを至急点検するよう求めています。特定製品の脆弱性を狙った攻撃とは断定されていません。
ログの異常や見覚えのないアカウントを調べ、パッチ・認証・権限・保有情報を見直します。経営者が責任を持ち、委託先とも連携することが重要です。
今日、確認する3か所
01
公開アプリ
公開先を洗い出し、エラーなど普段との違いと、更新していない部品を確認します。
ログは直近1か月から、必要に応じ3か月へ。02
外部サービス
クラウドやVPNを含め、ログイン元・時間・失敗回数、知らないアカウントや復活したアカウントを調べます。
誰が調査できるか、ログが何日残るかも整理。03
持っているデータ
不要な個人情報を持ち続けないよう、保有の必要性、保管先、暗号化、アクセス記録を見直します。
情報を減らすことも、被害を小さくする対策。異常が見つかったら、インシデント対応へ。記録を保全し、影響を調べます。IPAは、情報漏えいの可能性を考えて専門ベンダーへの詳細調査を強く勧めています。
異常がなくても、対策を見直す
公開範囲を絞る、多要素認証を使う、権限を必要最小限にする、API連携の管理を見直す、ログの内容・保存期間を整える。取引先や委託先と、緊急時の連絡方法も決めておきます。
APIキーを漏らさない ユーザー要望に基づく追加点検
以下はIPA記事をそのまま引用したものではなく、API利用アプリ向けに追加した実装・確認方針です。
利用者の画面→認証・上限を確認する
自分のサーバー→外部の課金API
- 秘密キーはサーバーに置く。HTML・ブラウザのJavaScript・公開環境変数・URLに入れない。
- Git・配信物・ログも調べる。
.envを隠すだけでは、過去のコミットやビルドに残ったキーは消えない。 - 代理APIにも認証と利用制限を置く。キーが見えなくても、誰でも呼べる入口なら費用を使われる。
- 公開前提のキーと区別する。Firebaseの公開設定キーなどは、キーの露出だけで漏えいと断定せず、認証・データのアクセスルール・API制限を確認する。
- 漏れた疑いがあれば失効・再発行と履歴調査。報告書にキーの値を書かない。
「API破産」を防ぐには、止まる仕組みを確認する
「予算を超えたらメールが来る」と「利用が止まる」は別です。Google Cloudの通知専用予算は、自動で請求を止めません。公式文書には対応サービス向けの費用停止型予算の案内もあるため、予算の種類と対象を確かめます。
| 確認するもの | 確認できたと言える条件 | 見落としやすい点 |
|---|
| 提供元の上限 | 停止する条件・金額や回数・期間・対象プロジェクトを実設定で確認 | 通知だけ、速度だけの制限では月額は止まらない |
| アプリの利用枠 | ユーザー別と全体の枠を、API呼び出し前にサーバーで判定 | 同時実行・複数サーバーでも枠を共有し、超過を防ぐ |
| 1回の最大費用 | 入力・出力トークン、画像数、モデルを制限 | 回数だけ制限しても、1回が高額なら足りない |
| 自動処理 | 再試行・同時実行・定期実行・重複処理の上限がある | 失敗して延々と呼ぶ、同じジョブを繰り返す |
| 支払い設定 | 課金状態、残高、自動チャージ、超過課金を確認 | 前払いでも自動補充があると支払いが続く |
| 停止の動作 | 低いテスト枠やモックで、有料APIを呼ぶ前に拒否される | 課金集計の遅延・実行中リクエストの超過も考慮 |
AI API以外のDB読み取り・保存容量・通信・サーバー稼働費も別途確認します。上限があるだけで、追加請求ゼロを保証するものではありません。
点検結果は、こう読む
点検結果では、「何を確かめたか」と「まだ確かめていないこと」を分けます。
報告の例（実際の点検結果ではありません）秘密キーの置き場所：コードを確認済み。
本番の費用上限：管理画面を見ていないため未確認。
次の確認：予算が通知だけか、利用を停止する設定かを調べる。
コードを見ただけで本番も安全とは判断しません。分からないことと、次に確認することが分かる報告を目指します。
作成したスキル
app-security
アプリ開発、API追加、公開前、既存アプリの点検で使うスキルです。IPAの確認事項と、APIキー漏えい・課金暴走の点検を組み込みました。
依頼例：「app-securityで、このアプリのキー漏えいと課金上限を点検して」
結果は「確認済み・要修正・未確認・対象外」に分け、確認したコードや設定を根拠として示します。
見つけて終わりにしない
- 重大な問題から対応。秘密キーの漏えいや、他人のデータを見られる入口を優先します。
- 対策が効くかも確認。ログインしていない人や、別の利用者からの操作を拒否できるか試します。
- 費用枠は同時利用でも確認。複数の処理が一度に動いても、枠を超えて有料APIを呼ばないかを検証します。
- 分からないことは残す。管理画面を見られない場合などは、「未確認」と必要な確認方法を示します。