API認証(セッション対API key)

APIは2つの方法で呼び出しを認可します。

• セッションCookie — アプリにサインインしている間、ブラウザからのAPI呼び出しは同じセッションで認証されます。組織スコープのエンドポイントには、メンバーロールも必要です。
• API key — プログラムによるサーバー間利用向けです。keyは特定の組織とロールに紐づけられ、ベアラートークンとして渡します。プログラムによるAPIアクセスはBusiness+の機能です。

パブリックエンドポイント(ヘルスチェックやヘルプセンターなど)は認証を一切必要としません。組織スコープのエンドポイントは、未認証の場合は401を、ご契約のプランがその機能を含まない場合は402を返します。APIには別途ユーザー名やパスワードはなく、key(またはセッション)が認証情報となります。API keyはパスワードと同様に扱い、シークレットマネージャーに保管し、必要最小限のロールに限定し、漏えいした場合はローテーションしてください。