APIキーはパスワードと同じに扱います。漏れると、使用枠を使われる・思わぬ請求が来る・非公開のリソースにアクセスされる、といった被害につながります。
やってはいけないこと
- GitHubなどのソース管理にキーを含める
- 本番のウェブ・スマホアプリにキーを埋め込む（バックエンドのプロキシ経由で呼ぶ）
- 制限なしのキーを使い続ける
漏れたときの手順
- 新しいキーを作る
- 新しいキーでアプリをデプロイ
- 新キーで動くのを確認してから、旧キーを無効化（確認前に消さない）
- 請求ログと利用状況で不正利用を調べる
AI Studioでは「Unrestricted」のキーに「Add restrictions」で、Gemini APIだけに使えるよう制限できます（apikeys.keys.update権限が必要）。