APIトークン

APIトークンは、ブラウザではなくスクリプト、CI、外部サービス、その他の自動化から /api/v1 にアクセスする場合に必要です。これはAPIリクエストにおけるブラウザセッションを置き換え、トークンを発行したユーザーに代わって動作します。

トークンは個別の役割を作成するものではなく、特別な権限を付与するものでもありません。ユーザーが組織へのアクセス権を持っている場合、そのトークンを使用したAPIリクエストは同じアクセス権を持ちます。アクセス権がない場合、トークンがアクセス権を追加することはありません。

トークンの機能

パーソナルトークンは、保護された /api/v1 のルートへのベアラーアクセスを提供します。これはHTTPヘッダーで渡します:

Authorization: Bearer <token>

以降のリクエストは、インターフェース上の通常のユーザーと同様のチェックを受けます: 組織のメンバーシップ、役割、特定のアクションに対する権限です。そのため、トークンはスクリプト、統合、定期的なデータ抽出に便利に使用できますが、パスワードと同様に保管する必要があります。

現在のバージョンでは、トークンは個別のスコープで設定できません。発行された各トークンは、所有者の実際の権限の範囲内でフルアクセスで動作します。制限されたスコープの外部AIエージェントが必要な場合は、パーソナルAPIトークンではなくMCP接続を使用してください。

組織内のプロフィールを開き、APIトークンセクションに移動します。わかりやすい名前を指定します。たとえば、トークンを使用するスクリプト、サービス、環境の名前です。

有効期限は任意です。指定しない場合、トークンは手動で取り消されるまで有効です。期限が指定されている場合、その日付を過ぎるとトークンはアクセスを提供しなくなり、有効なトークンの一覧から消えます。

発行後、完全なシークレットは一度だけ表示されます。すぐにコピーして安全なストレージに保管してください。後でプラットフォームは、名前、作成日、有効期限、最終使用日時のみを表示します。トークンの全文を復元することはできません。

各スクリプトやサービスに対して個別のトークンを作成します。これにより、一覧の名前から使用場所がわかり、他の統合を停止せずにトークンを取り消すことができます。

トークンを公開コード、ドキュメント、タスク、チャット、クライアントサイドJavaScriptに挿入しないでください。サーバー統合では、環境変数またはシークレットマネージャーに保存します。

トークンが漏洩した可能性がある場合は、直ちに取り消して新しいトークンを発行してください。取消は即座に有効になり、古いベアラーヘッダーは認証に失敗します。

APIトークンページには、現在のユーザーの有効なトークンのみが表示されます。一覧には、名前、作成日、有効期限、最終使用日時が表示されます。他のユーザーのトークンはここには表示されません。

アクセスを無効にするには、該当するトークンの取消をクリックし、操作を確認します。これにより、そのトークンのみが削除されます。ユーザーアカウントとその他のトークンはそのまま残ります。

セキュリティ上の理由から、有効期限切れのトークンを手動で取り消す必要はありません。すでに機能しません。ただし、新しい統合のためには、新しいトークンを発行し、APIリクエストを行うサービス内のシークレットを置き換える必要があります。