認証と API キー

パブリック API は、spk_ という接頭辞が付いた Bearer API キーを使用します。

Authorization: Bearer spk_...

ブランドスコープ

各 API キーは単一のブランドにスコープされています。/v1/brand/* エンドポイントで対象となるブランドはキー自体によって決定され、リクエストボディで別のブランドを指定することはできません。

API キーを生成および発行できるのは、ブランドオーナーのみです。

スコープと権限

エンドポイントに応じて、以下のスコープがチェックされます。

brands:read, brands:write
connections:read
publishing:read, publishing:write
comments:read, comments:write, comments:moderate
analytics:read
webhooks:read, webhooks:write

API キーに必要なスコープが不足している場合、サーバーは 403 insufficient_scope を返します。

認証不要のエンドポイント

/
/v1/health
/v1/docs
/v1/openapi.json

プランのクォータ

Free ブランドは、暦月（UTC）あたり 1 つのアクティブな API キーと、カウント対象となる 1,000 件の API リクエストが許可されます。Growth ブランドは、複数のアクティブなキーをサポートし、フェアユースポリシーの下で運用されます。

有効な認証後に行われたリクエストは、成功・失敗にかかわらず Free クォータにカウントされます。ヘルスチェック、API ドキュメント、OpenAPI スキーマのリクエスト、および無効なキーによるリクエストは、カウントの計算から除外されます。

セキュリティの推奨事項

キーは環境変数またはシークレット管理サービスに保存してください。
クライアント側のブラウザコードにキーを含めないでください。
ロギング出力ではキーをマスクしてください。
未使用のキーは無効化し、新しいキーにローテーションしてください。
アクセスログを区別するために、自動化スクリプトごとにキーを分けてください。

🔗 関連ドキュメント