tech
世界1000万サイトでAPIキーが露出していると米大が指摘
米スタンフォード大学などの研究者が、世界1000万サイトでAPIキーが露出していると指摘した。
Key points
- 主要14サービスの有効なAPIキー1748件が5693のドメインで誰でも見られる状態だった。
- 露出したキーの84%がJavaScriptファイルにあり、その多くはビルド工程で自動生成されたファイルに存在していた。
- 漏えいしたキーは平均1年間放置されており、警告後の無効化率は26%に留まった。
Why it matters. APIキーの漏えいはデータ窃取やプライバシー侵害に直結し、過去にはUberで5700万人の個人データが流出した事例があるため、ソースコード検査だけでは検知できないビルド時の設定ミスへの警戒が必要となる。
米スタンフォード大学などの研究者がWeb上の1000万サイトを調査し、APIキーが大量に露出している実態を論文で発表した。AWSやOpenAIなど主要14サービスの有効なキー1748件が5693ドメインで公開されており、G-SIBや国のエネルギー事業者も含まれていた。露出の84％はJavaScriptファイル内にあり、その6割以上はビルド工程で自動生成されたファイルに存在していた。研究チームが警告したところ、2週間で約半数が削除されたが、無効化まで至ったのは26％に留まった。
Latest updates
世界1000万サイトでAPIキーが露出していると米大が指摘
米スタンフォード大学などに所属する研究者らが発表した論文「Keys on Doormats: Exposed API Credentials on the Web」は、Web上の1000万サイトを調査し、本来秘匿にすべき「APIキー」（APIを利用する際の配布元が発行する許可証となる秘密のパスワード）が大量に露出している実態を発表した研究報告だ。 Innovative Tech 公開 2026年10月23日 12時00分 著者 山下（Seamless） [ITmedia] Innovative Tech： 2019年にスタートした本連載「Innovative Tech」は、世界中の幅広い分野から最先端の研究論文を独自視点で厳選、解説する。 執筆は研究論文メディア「 Seamless 」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。 イラストや漫画は、同メディア所属のアーティスト・ おね 氏が手掛けている。 X： ＠shiropen2 米スタンフォード大学などに所属する研究者らが発表した論文「 Keys on Doormats: Exposed API Credentials on the Web 」は、Web上の1000万サイトを調査し、本来秘匿にすべき「APIキー」（APIを利用する際の配布元が発行する許可証となる秘密のパスワード）が大量に露出している実態.