【Postman】あなたのAPIキーは大丈夫？「Secret Scanner」で守る、開発現場のセキュリティ常識
こんにちは。API開発の現場で、一度でも「あ、やらかした……」と冷や汗をかいた経験はありませんか？
開発中のデバッグで、APIキーをそのままコレクションのパラメータに書き込み、うっかりチーム共有してしまった。あるいは、そのままGitHubにプッシュしてしまった。これは新人・ベテラン問わず、誰もが一度は通る「魔の道」です。
今日は、API開発の心臓部であるPostmanを使いこなし、「シークレット情報の漏洩を未然に防ぐ」ための極意を伝授します。これを知れば、あなたの開発環境は鉄壁の守りへと進化します。
—
1. なぜ「ハードコード」は悪なのか？
APIキーや秘密鍵は、あなたの「鍵」です。これをコードやPostmanのコレクションに平文で書き込む行為は、「家の鍵を玄関先に貼っておく」のと同じです。
最近のPostmanには、この過ちを物理的に防ぐための「Secret Scanner」という強力な武器が備わっています。これを使わない手はありません。
—
2. 【基礎セットアップ】Postmanを「守り」の体制にする
まずは、Postmanで安全にAPIを扱うための「基本の型」を身につけましょう。
手順①：環境変数（Environments）を徹底活用する
絶対にやってはいけないのは、コレクション内の「Params」や「Headers」に直接キーを書き込むこと。必ず「Environment」を作成し、そこに保存してください。
1. 右サイドバーの「Environments」タブを開く。
2. 「Create environment」をクリック。
3. `API_KEY` という名前で変数を作り、そこに値を格納する。
4. 使用時は `{{API_KEY}}` と記述する。
これで、コレクション自体には「変数名」しか残らないため、万が一共有してもキーは流出しません。
—
3. Secret Scannerで「うっかり」を自動検知する
ここからが本題です。PostmanのSecret Scannerは、あなたが作成したコレクションやリクエストの中に、「キーらしき文字列」が含まれていないかをリアルタイムで監視してくれる機能です。
設定と確認方法
Postmanのデスクトップアプリであれば、デフォルトでこの保護機能が働いています。
- 動作の仕組み: あなたが入力した値が、既知のサービス（AWS, Stripe, Slack, GCPなど）のAPIキー形式と一致した場合、Postmanが即座に検知します。
- 警告の表示: 画面上に「Warning: Secret detected」といった通知が出ます。
【鉄則】: この警告が出たら、そのキーを即座に破棄し、再発行（ローテーション）してください。一度でもログに残ったキーは、すでに漏洩していると考えた方が安全です。
—
4. Hello World：誤検知すら許さない実戦テスト
実際に、この機能がどう動くのかを試してみましょう。
1. わざとやってみる:
新規リクエストの「Headers」を開き、キーとして `Authorization`、値として `sk_live_51Mz…`（Stripeのテストキー風の文字列）を入力してみてください。
2. Postmanの反応を見る:
即座にPostmanが「そのキー、危険ですよ！」と黄色や赤の警告を出します。
3. 修正する:
その値を削除し、環境変数に逃がす。これでPostmanの機嫌（警告）が直れば、あなたは正しく設定できています。
—
5. 【プロの極意】さらに安全を強固にする3つの視点
ツールを使うだけでなく、以下の習慣を身につけると、あなたは「選ばれるエンジニア」になれます。
1. コレクションの公開設定を「Private」にする:
Postmanで作成したコレクションをワークスペースで共有する際は、必ず権限管理を確認しましょう。「Public」設定は、意図しない限り絶対に避けてください。
2. `.gitignore` の徹底:
PostmanのコレクションをJSONでエクスポートして管理する場合、`postman_environment.json` ファイルを必ず `.gitignore` に追加してください。設定ファイルごとGitHubに上げるのは、最もやってはいけないミスです。
3. キーは「短命」にする:
どれだけ気をつけても、事故はゼロにはできません。APIキーは定期的にローテーションし、無効化・再発行のプロセスを自動化する設計思想を持ちましょう。
—
最後に：ツールは「安心」のためにある
PostmanのSecret Scannerは、あなたを縛るための監視カメラではありません。「失敗を恐れずに開発に集中するためのガードレール」です。
今日から、APIキーを直書きする指を止め、環境変数という「安全な引き出し」に鍵をかける癖をつけてください。これだけで、あなたのコードの信頼性はグンと上がります。
さあ、安全を確保したら、次はもっと面白いAPI連携に挑戦しましょう。応援しています！