情報確認日：2026年10月15日
通常のOpenAI APIキーは、WebページのJavaScriptや公開するアプリへ貼り付けません。ブラウザー側へ渡したキーは利用者が調べられるため、AIが作ったコードでも秘密として保てません。キーはサーバー側の環境変数や秘密情報の管理サービスに置き、利用者からの依頼をサーバーで受けてAPIを呼ぶ構成にします。
ここでは、Webアプリを試作・公開する人が確認する範囲を説明します。利用者が外部アプリへChatGPTアカウントでログインする仕組みとは、別の話です。
画面に表示しないだけでは、秘密を守れない
OpenAIのAPI認証の公式説明は、APIキーを秘密として扱い、ブラウザーやアプリなどのクライアント側コードへ露出させないよう明記しています。API認証の公式説明
画面の入力欄を伏せ字にしても、ページがAPIへ送信するために通常のキーを持っていれば、秘密の保管先にはなりません。JavaScriptの変数名を変える、コードを読みにくくする、といった処理も、サーバー側へ移す代わりにはなりません。
AIへ作成を頼むときは、「通常のAPIキーをブラウザーへ送らず、API呼出しはサーバー側で行う」と条件を伝えます。完成後は、その条件がコードと配置先で守られているかを担当者が確認します。
キーを置く場所と、ブラウザーへ返す情報を分ける
基本的な流れは、利用者がWeb画面へ入力し、自分のアプリのサーバーが入力を受け取り、そこでOpenAI APIを呼び、必要な回答だけを画面へ返すものです。
| 場所 | 持たせるもの・役割 |
|---|---|
| ブラウザー | 利用者の入力と回答の表示 |
| アプリのサーバー | 利用者の確認、利用制限、APIの呼出し |
| サーバーの秘密情報保管先 | 通常のAPIキー |
| 公開するソースコード | キーを含まない設定の例や処理 |
OpenAIはサーバーの環境変数やキー管理サービスから読み込む方式を案内しています。ただし、「環境変数」という名前の設定欄なら、どこでも秘密になるわけではありません。フレームワークによっては、公開用の変数をブラウザー向けコードへ組み込みます。使う製品の秘密情報と公開設定の違いを確認してください。
サーバーに隠すだけで、使い放題を防げるとは限らない
キーを隠した後も、誰でも制限なく自分のサーバーへ依頼できれば、その経路からAPIが使われ続ける可能性があります。
公開前には、利用者の認証、利用できる処理、入力の大きさ、連続利用の制限をアプリ側で確認します。AIが自由な送信先や任意の処理を受け付けるコードを作っていないかも点検します。これはアプリの実装上の確認で、キーを非表示にしただけでは完成しない部分です。
開発用と本番用は、別のプロジェクトに分ける方法が公式に示されています。本番へアクセスできる人と、試作担当者の権限も分けると、試験中の処理が本番へ及ぶ範囲を抑えられます。本番運用の公式ガイド
通知と、強制的な利用上限を区別する
利用額のアラートは、指定した額を超えたときの通知です。通知を設定しただけで、すべての処理が自動で止まるとは扱いません。
現行の公式ガイドは、月次の強制支出上限を設定すると、追跡対象の支出が上限に達した際に、対象のAPI通信を停止すると説明しています。対象範囲と停止の影響を確認してから本番へ設定します。利用量を管理する担当者も決めておきます。
無料の試作品でも、裏で呼ぶAPIには費用が発生することがあります。アプリを置くサーバーの費用とAPI利用料は、それぞれの契約と利用状況で確認してください。
公開前は、配布物と記録にキーが残っていないか確認
AIへ渡した会話、ソースコード、設定ファイル、スクリーンショット、エラー記録に、実際のキーを残さないようにします。サンプルには実値の代わりに、設定名や明らかな仮の文字列を使います。
秘密情報を設定した後は、ブラウザーへ配布されるファイルや通信、公開リポジトリにキーが含まれていないか確認します。エラー時に環境変数や要求の認証情報を丸ごと表示する実装にも注意が必要です。
テストは、正常な利用だけでなく、ログインしていない人や制限を超えた依頼をどう扱うかまで含めます。「AIが動いた」という確認と、「公開してよい範囲で動く」という確認を分けてください。
キーが漏れたら、削除だけで終えない
公開したコードから文字列を消しても、既に読まれたキーが使えなくなるわけではありません。漏えいしたキーは無効化し、利用状況を確認します。交換が必要なアプリには新しいキーを安全に設定してください。
通常の計画的な更新では、新キーを作成し、アプリを切り替えて動作確認した後に旧キーを無効化する手順が公式に示されています。漏えい時は被害の拡大を止める対応を優先し、管理者へ直ちに連絡します。
OpenAIはキー作成時の有効期限と定期更新も勧めています。組織・プロジェクトの制限により作成できるキーの種類や期限が変わる場合があるため、設定できないときは管理者へ確認します。
特定の機能が専用の短命な認証情報を使う場合も、通常のAPIキーを公開してよい理由にはなりません。その機能の公式資料に沿って構成し、迷う場合はキーを貼る前に、アプリの開発担当者へ認証方式と保管先を確認してください。
参照資料
あわせて読みたい記事
執筆・検証：カネさん（政経プラスチャンネル運営）＋ ChatGPT
