APIとは、アプリやWebサイトなど、異なるシステム同士が情報や機能をやり取りするための仕組みです。
簡単に言えば、コンピューター同士をつなぐ「窓口」のようなものです。
普段、私たちが利用しているスマートフォンのアプリやWebサイトでも、APIが使われています。
ところが、2026年10月24日、気になるニュースを見つけました。
なんと、世界中のWebサイトを調査したところ、本来は秘密にするべき「APIキー」が大量に公開されていたというのです。
私は専門家でもプログラマーでもありません。
普段は工場で働きながら、個人ブログを運営しています。
もし子どもから「パパ、APIって何？」と聞かれたら、ちゃんと説明できるだろうか？
正直、私もよくわかっていません。
そこで今回は、ChatGPTに協力してもらい、小学生でもわかるように調べてみました。
子どもに教えるつもりが、パパ自身のお勉強です（笑）。
APIという言葉は何となく聞いたことがありましたが、仕組みをきちんと説明できるかと言われると、自信がありません。
そこで今回、ChatGPTに質問しながら、APIとは何なのか、なぜAPIキーが漏れると危険なのかを調べてみました。
※この記事はITの専門家による技術解説ではなく、個人がニュースをきっかけに学んだ内容をまとめたものです。
APIとは何？レストランに例えると簡単！
APIは「Application Programming Interface（アプリケーション・プログラミング・インターフェース）」の略です。
……いきなり難しいですね。
そこで、レストランに例えてみます。
レストランには、お客さん、店員さん、料理を作る厨房があります。
お客さんは厨房に入って料理を作るのではなく、店員さんに注文します。
店員さんは注文を厨房に伝え、完成した料理をお客さんに届けます。
APIも、これと似た仕組みです。
- お客さん：情報を使いたいアプリ
- 店員さん：API
- 厨房：情報や機能を提供するシステム
- 料理：取得した情報や処理の結果
つまり、APIはシステム同士のやり取りを仲介する窓口なのです。
APIは普段どこで使われているの？
実は、身近なところでも利用されています。
① 天気予報アプリ
スマートフォンで天気予報を確認するとします。
天気予報アプリが、外部の気象情報サービスからAPIを通じて情報を取得する場合があります。
その結果、画面に今日の気温や降水確率などが表示されます。
② 地図を表示するWebサイト
お店のホームページに地図が表示されていることがあります。
これはGoogle Mapsなどの地図サービスのAPIを利用して実現している場合があります。
③ ネットショッピング
商品の情報や在庫、配送状況などを、別のシステムとやり取りするためにもAPIが使われます。
④ AIサービス
ChatGPTを開いて質問することと、APIを使うことは同じではありません。
ただし、外部のアプリやWebサイトにAIの機能を組み込むときには、OpenAIなどが提供するAPIを利用できます。
例えば、自分で作ったWebサービスからAIに文章を作ってもらう、といった使い方です。
APIとAPIキーは何が違うの？
ここが今回のニュースを理解する重要な部分です。
APIは窓口、APIキーはその窓口を利用するときに使う識別用の鍵のようなものです。
先ほどのレストランに例えると、APIは注文を受け付ける店員さん。
APIキーは、会員証や利用許可証のようなものです。
ただし、すべてのAPIにAPIキーが必要なわけではありません。
また、APIキーだけでなく、別の認証方法を使うサービスもあります。
APIキーには、利用者やアプリを識別したり、利用状況を管理したりする役割があります。
そのため、秘密にすべきAPIキーが第三者に知られると、悪用される危険があります。
APIキーが流出すると何が起こるの？
例えば、自分が契約している有料サービスのAPIキーが盗まれたとします。
悪用できる権限がある場合、第三者が勝手にサービスを利用する可能性があります。
すると、次のような被害につながることがあります。
- 身に覚えのない利用料金が発生する
- アクセス権限のあるデータが盗まれる
- 情報が書き換えられる
- サービスが不正利用される
ただし、APIキーが漏れたら必ずすべての情報が盗まれるわけではありません。
実際の被害は、そのキーに与えられている権限や、サービス側の安全対策によって異なります。
1,000万サイトを調べたらAPIキーが丸見えだった？
2026年10月24日、ITmedia NEWSが紹介した研究報告が話題になりました。
米スタンフォード大学などの研究者らによる「Keys on Doormats: Exposed API Credentials on the Web」という研究です。
記事によると、研究チームは約1,000万のWebサイトを対象に調査しました。
その結果、AWS、Stripe、GitHub、OpenAIなど、主要14サービスの有効なAPIキー1,748件が、5,693のドメインで確認されたと報じられています。
ここで注意したいのは、1,000万サイトすべてでAPIキーが流出していたわけではないということです。
また、1,748件というのは確認されたキーの件数であり、被害者数ではありません。
世界的な銀行やエネルギー事業者などに関係する露出も含まれていたとのことです。
普段、何気なく使っているWebサイトの裏側に、こうした問題があるとは驚きました。
なぜ秘密のAPIキーが見えてしまうの？
ここも気になりました。
APIキーは秘密にするべきものなのに、どうして公開されるのでしょうか。
簡単に言えば、公開する予定のファイルに、秘密の情報まで入ってしまうことがあるからです。
Webサイトには、画面の動きを作るJavaScriptというプログラムが使われています。
JavaScriptの一部は、私たちのブラウザに送られて動きます。
つまり、そのファイルの中に秘密のAPIキーを書いてしまうと、第三者からも見える可能性があります。
今回の記事では、確認された露出の84％がJavaScriptファイル内にあったと紹介されています。
さらに、その多くはプログラムを公開用にまとめる作業の途中で入り込んでいたそうです。
開発者が秘密にしたつもりでも、完成したWebサイトでは見えてしまうことがあるのです。
APIキーが漏れたら削除するだけでいいの？
ここは特に重要だと思いました。
公開ページからAPIキーを削除するだけでは不十分な場合があります。
なぜなら、誰かがすでにそのキーをコピーしている可能性があるからです。
例えば、家の鍵を道路に落としたとします。
後から拾い直しても、誰かが合鍵を作っていたら安心できません。
そのため、秘密のAPIキーが漏れた場合は、一般的に古いキーを無効化し、新しいキーに切り替える対応が必要です。
今回の報道では、研究チームから警告を受けた組織のうち、2週間以内にキーを無効化した割合は26％だったと紹介されています。
見えなくすることと、使えなくすることは違う。
これは覚えておきたいポイントです。
個人ブログを運営している私にも関係ある？
私はWordPressを利用してブログを運営しています。
テーマはCocoonで、GoogleアドセンスやGoogleアナリティクス、Search Consoleなども利用しています。
今回のニュースを読んで、自分のブログは大丈夫なのだろうかと気になりました。
調べてわかったのは、APIキーのように見える文字列が、すべて秘密情報とは限らないということです。
例えば、Googleアナリティクスの測定IDや、一部の公開利用を前提としたキーは、ブラウザから見えること自体が問題とは限りません。
一方で、サーバー側で秘密にする必要があるAPIキーやアクセストークンを、公開ページに書いてしまうのは危険です。
特に、AIサービスや外部サービスを自分のブログに組み込むときには注意が必要だと感じました。
個人ブロガーが気をつけたいこと
今回のニュースをきっかけに、私自身も次の点を意識したいと思います。
- APIキーをブログ記事や公開コードに貼り付けない
- 設定画面のスクリーンショットに秘密情報が写っていないか確認する
- 外部サービスと連携するときは公式の設定方法を確認する
- 不要になった秘密のキーは無効化する
- 漏えいが疑われる場合は、キーの再発行や利用履歴の確認を行う
なお、WordPressの管理画面にAPIキーを入力することが、必ずしも危険というわけではありません。
重要なのは、そのキーが一般公開される場所に出ていないか、適切に管理されているかということです。
まとめ｜APIとは、コンピューター同士をつなぐ便利な窓口だった！
今回、ニュースをきっかけにAPIについて調べてみました。
最初は難しい専門用語だと思っていましたが、身近なサービスにも使われていることがわかりました。
APIは、異なるシステム同士が情報や機能をやり取りするための仕組みです。
そしてAPIキーは、そのAPIを利用する際に使われる鍵のようなものです。
便利な仕組みだからこそ、秘密にするべきキーの管理が重要になります。
私はITの専門家ではありませんが、ブログを運営している以上、こうした基本的な知識は少しずつ身につけていきたいと思います。
今さら聞けないと思っていたことでも、調べてみると新しい発見がありますね。
今回もひとつ勉強になりました。
※本記事は2026年10月24日の報道をきっかけに作成しました。APIの説明は一般的な仕組みをわかりやすく整理したものであり、個別サービスの安全性を保証するものではありません。
参考資料
- ITmedia NEWS（2026年10月24日配信、ユーザー提供記事）
- 研究論文「Keys on Doormats: Exposed API Credentials on the Web」
コメント