API キー

Stripe は、アカウントの API キーを使用して API リクエストを認証します。リクエストに有効なキーが含まれていない場合、Stripe は無効なリクエストエラーを返します。リクエストに削除済みのキーや有効期限切れのキーが含まれている場合、Stripe は認証エラーを返します。

開発者ダッシュボードを使用して、API キーの作成、表示、削除、ローテーションを行います。v1 API キーにアクセスするには、ダッシュボードで API キータブを選択します。

キーの種類

By default, all accounts have a total of four API keys, two in a sandbox and two in live mode:

• Sandbox secret key: Use this key to authenticate requests on your server when you’re testing in a sandbox. By default, you can use this key to perform any API request without restriction. Reserve this key for testing and development to make sure that you don’t accidentally modify your live customers or charges.
• Sandbox publishable key: Use this key for testing purposes in your web or mobile app’s client-side code. Reserve this key for testing and development to make sure that you don’t accidentally modify your live customers or charges.
• 本番環境のシークレットキー: 本番環境でサーバー上のリクエストを認証するには、このキーを使用します。デフォルトでは、このキーを使用して、あらゆる API リクエストを制限なく実行できます。
• 本番環境の公開可能キー: アプリをリリースする準備が整ったら、ウェブやモバイルアプリのクライアント側コードでこのキーを使用します。

Your secret and publishable keys are in the Dashboard in the API keys tab. If you can’t view your API keys, ask the owner of your Stripe account to add you to their team with the proper permissions.

When you’re logged in to Stripe, our documentation automatically populates code examples with your test API keys. Only you can see these values. If you’re not logged in, our code examples include randomly generated API keys. You can replace them with your own test keys or log in to see the code examples populated with your test API keys.

次の表は、ランダムに生成されたシークレットキーと公開可能テスト API キーの例です。

サンドボックスモードと本番環境

すべての Stripe API リクエストは、 サンドボックス または 本番モード のいずれかで行われます。サンドボックスを使用してテストデータにアクセスし、本番モードを使用して実際のアカウントデータにアクセスします。各モードには、独自の API キーのセットがあります。一方のモードのオブジェクトには、もう一方のモードからはアクセスできません。たとえば、サンドボックス商品オブジェクトを本番環境の支払いに含めることはできません。

API キーのローテーション

キーをローテーションすると、そのキーは無効になり、置換キーが生成されます。キーは、すぐにローテーションすることも、一定時間後にローテーションするようにスケジュールすることもできます。キーのローテーションは、以下のようなシナリオで利用できます。

• 本番環境でシークレットキーまたは制限付きキーを紛失した場合は、ダッシュボードから復元することはできず、交換する必要があります。
• シークレットまたは制限付きのキーが不正にアクセスされた場合は、悪意のある API リクエストで使用される可能性を回避するために、取り消す必要があります。
• ポリシーにより、一定期間ごとにキーのローテーションを行う必要があります。

API キーをローテーションする場合は、以下の手順に従います。

1. API キーページを開きます。
2. ローテーションするキーの行で、オーバーフローメニュー () をクリックし、キーのローテーションを選択します。
3. 有効期限ドロップダウンから有効期限を選択します。
4. API キーのローテーションをクリックします。
5. ダイアログに新しいキーの値が表示されます。クリックしてコピーします。
6. キーの値を保存します。後で取得することはできません。
7. メモを追加フィールドに、キーの保存場所を入力して、完了または保存をクリックします。

有効期限として現在を選択した場合は、以前のキーは削除されます。別の時刻を選択した場合は、キーの有効期限が切れるまでの残りの時間が名前の下に表示されます。

以前のキーの有効期限に関係なく、新しいキーをすぐに使用できます。

公開キーをローテーションする場合、置換キーの名前は常に Publishable key になります。秘密キーをローテーションする場合、置換キーの名前は常に Secret key になります。制限付きキーをローテーションする場合、置換キーの名前はローテーションされるキーと同じになります。秘密キーまたは制限付きキーの名前を変更するには、オーバーフローメニューをクリックして、キーの編集を選択します。

API リクエストログを表示する

API リクエストログを開くには、任意のキーのオーバーフローメニュー () をクリックして、リクエストのログを表示を選択します。ログを開くと、メインの Stripe ダッシュボードにリダイレクトされます。

シークレットキーと制限付きキー

ダッシュボードを使用して、シークレットキーと制限付きキーを作成、削除、表示、および変更します。

シークレット API キーを作成する

シークレット API キーを作成するには、以下の手順を実行します。

1. API キーページを開きます。
2. シークレットキーを作成をクリックします。
3. Stripe は、確認コードをメールアドレスまたはショートメッセージに送信します (他のメールやショートメッセージと同様、すぐには届かない場合があります)。届いたコードをダイアログに入力してください。ダイアログが自動的に先に進まない場合は、続行をクリックします。
4. キーの名前フィールドに名前を入力します。
5. 作成をクリックします。
6. ダイアログに新しいキーの値が表示されます。クリックしてコピーします。
7. キーの値を保存します。後で取得することはできません。
8. メモを追加フィールドに、キーの保存場所を入力して、完了をクリックします。

制限付きの API キーを作成する

制限付き API キーでは、指定したレベルのアクセスのみが許可されます。

制限付きの API キーを作成するには、以下の手順を実行します。

1. API キーページを開きます。
2. 制限付きキーを最初から作成することも、既存の制限付きキーを複製することもできます。
   • 制限付きキーを最初から作成するには、制限付きのキーを作成をクリックします。この場合、すべての権限のデフォルト値はなしです。
   • 既存のキーを複製するには、オーバーフローメニュー () をクリックし、複製するキーの行で キーを複製 を選択します。この場合、各アクセス許可の既定値は、複製されたキーの値です。
3. キーの名前フィールドに、名前を入力します。既存のキーを複製した場合、デフォルトの名前は、複製されたキーの名前です。
4. 新しいキーでアクセスするリソースごとに、キーに許可するアクセス許可を選択します。Connect を使用している場合は、連結アカウントにアクセスするときに、このキーを許可する権限を選択することもできます。使用可能な権限は、なし、読み取り、書き込み です。
5. キーを作成をクリックします。
6. Stripe は、確認コードをメールアドレスまたはショートメッセージに送信します (他のメールやショートメッセージと同様、すぐには届かない場合があります)。届いたコードをダイアログに入力してください。ダイアログが自動的に先に進まない場合は、続行をクリックします。
7. ダイアログに新しいキーの値が表示されます。クリックしてコピーします。
8. キーの値を保存します。後で取得することはできません。
9. メモを追加フィールドに、キーの保存場所を入力して、完了をクリックします。

シークレットまたは制限付きの API キーを削除する

キーを削除すると、そのキーを使用するコードは API コールを実行できなくなります。キーを削除したら、新しいキーを作成し、それを使用するようにコードを更新します。

キーを削除するには、以下の手順に従います。

1. 開発者ダッシュボードで、API キータブを選択します。
2. 標準キー または 制限付きキー リストで、削除するキーを見つけます。そのキーの行にあるオーバーフローメニュー () をクリックし、キーを削除 を選択します。
3. キーを削除してもよろしければ、API キーを削除 ダイアログで キーを削除 をクリックします。それ以外の場合は、キャンセル をクリックします。

サンドボックスでのシークレット API キーの公開

サンドボックスを使用すると、シークレット API キーを何度でも公開できます。

サンドボックスでシークレットキーを明らかにするには、次のようにします。

1. 開発者ダッシュボードで、API キータブを選択します。
2. 標準キー リストで、シークレットキー 行の テストキーを表示 をクリックします。
3. キーの値をクリックしてコピーします。
4. キーの値を保存します。
5. テストキーを非表示をクリックします。

本番環境用のシークレットまたは制限付きの API キーを表示する

本番環境ではシークレットキーまたは制限付き API キーは 1 回だけ表示されます (セキュリティ上の理由により)。キーは安全な場所に保管し、紛失しないようにしてください。保存場所を忘れないように、ダッシュボードのキーにメモを残すこともできます。キーを紛失した場合は、キーをローテーションするか、削除して別のキーを作成することができます。

本番環境でシークレットまたは制限付きのキーを表示してメモを添付するには、以下の手順を実行します。

1. 開発者ダッシュボードで、API キータブを選択します。
2. 表示するキーの行の 標準キー リストまたは 制限付きキー リストで 本番キーを表示 をクリックします。
3. キーの値をクリックしてコピーします。
4. キーの値を保存します。
5. テストキーを非表示をクリックします。
6. キーの横にあるオーバーフローメニュー () をクリックし、キーを編集 を選択します。
7. メモ フィールドに、キーを保存した場所を入力し、保存 をクリックします。
8. Stripe がこの機能を導入する前にキーを作成した場合は、本番キーを非表示をクリックします。

シークレットまたは制限付きのキーを IP アドレスのリストまたは範囲に制限する

キーを使用する API リクエストを 1 つ以上の特定の IP アドレスまたは IP アドレスの範囲に制限するには、以下の手順を実行します。

1. API キーページを開きます。
2. 表示するキーの行の 標準キー リストまたは 制限付きキー リストのオーバーフローメニュー () をクリックし、IP 制限を管理 を選択します。
3. 特定の IP アドレスのセットに使用を制限するをクリックします。
4. IP アドレスまたは IP アドレスの範囲を入力します。
   • 個々の IP アドレスは、IP アドレスフィールドに入力します。
   • IP アドレスの範囲は、Classless Inter-Domain Routing (CIDR) 表記で範囲を入力します。IP アドレスフィールドに、範囲の最初のアドレスを入力します。CIDR フィールドに、ネットワークのプレフィックスサイズを入力します。
   • 一括管理タブを選択して、個々の IP アドレスと範囲をスペースで区切って入力することもできます。一方のタブで加えた変更は、もう一方のタブに反映されます。
5. 別のアドレスまたは範囲を追加するには、+ 追加をクリックします。
6. 保存をクリックします。

シークレットまたは制限付きの API キーの名前またはメモを変更する

シークレットまたは制限付きのキーの名前またはメモのテキストを変更するには、以下の手順を実行します。

1. API キーページを開きます。
2. 変更するキーの行のオーバーフローメニュー () をクリックし、キーの編集 を選択します。
3. 名前を変更する場合、キーの名前に新しい名前を入力します。
4. メモのテキストを変更する場合、メモに新しいメモのテキストを入力します。
5. 保存をクリックします。

キーを安全に保存する

本番環境のシークレット API キーは、誰でも、支払いの作成や返金の実施など、アカウントの代理としてあらゆる API コールの実行に使用できます。シークレット API キーのベストプラクティスに従って、キーを安全に保管してください。