認証とキーの管理

すべての /v1/* は、APIキーで認証します。

要確認 認証ヘッダーの名前は、実装の監査資料では確認できていません。この文書では Authorization: Bearer を使います。

キーの形式

リクエストへの付け方

curl -s https://api.zorynto.com/v1/usage \
  -H "Authorization: Bearer $KITEN_API_KEY"

実装は、Bearer <キー> の形と、キーそのものの両方を受け付けます。公開する仕様としては、Bearer の形だけをお使いください。

401 になるとき

• キーが kiten_live_ で始まっていない、または存在しない。
• キーが無効化されている。
• ローテーション後の猶予（24時間）が過ぎた古いキーを使っている。

ローテーション

新しいキーを発行しても、古いキーは 24時間 有効です。アプリケーションの切り替えが終わるまでの猶予として使ってください。

1. コンソールで新しいキーを作成する（またはローテーションを実行する）。
2. 環境変数・シークレットを新しいキーに置き換えてデプロイする。
3. 24時間以内に、古いキーでのアクセスが無くなったことを確認する。

保管の注意

• キーはサーバー側だけで使い、ブラウザのコードやアプリに埋め込まないでください。
• リポジトリにコミットしないでください。環境変数かシークレット管理を使います。
• 漏れた可能性があるときは、すぐにローテーションし、古いキーを削除してください。