- App IDと組織IDはパブリック識別子で、クライアント側のコードとSDK初期化に安全に使用できます。
- App APIキーと組織APIキーはプライベートシークレットです。安全に保管し、クライアント側のコードで公開しないでください。
App ID
App IDは、OneSignalアプリを識別するパブリックUUID（v4）です。 以下の用途で使用します：- SDKの初期化（Mobile SDKセットアップ、Web SDKセットアップ）
- メッセージの作成やユーザーの作成などのAPIリクエスト
App IDはクライアント側のSDK初期化で安全に使用できます。シークレットではありません。
組織ID
**組織ID（Org ID）**は、請求プランの下にあるすべてのアプリをグループ化するUUID（v4）です。 以下のような組織レベルのAPIに必要です： Organizations > あなたの組織 > Keys & IDs、またはアプリの表示 APIで確認できます。
APIキー
APIキーには2種類あります。どちらもREST APIリクエストを認証するために使用し、秘密に保つ必要があります。実行したい操作に合ったキーを選んでください：アプリごとに最大16個のApp APIキー、組織ごとに最大16個の組織APIキーを作成できます。
App APIキー
App APIキーは、単一のアプリに限定されたREST APIリクエストに使用します：メッセージの送信、ユーザーの作成または更新、メッセージ履歴の確認など。 ダッシュボードでは既存のAPIキーの値は表示されません。キーID列の文字列は内部識別子であり、キーではありません。再度動作するシークレットを取得するには、以下の手順で新しいAPIキーを作成するか、既存のキーをローテーションしてください。ローテーションは同じキーID、名前、IP許可リストを保持したまま新しい値を生成し、古い値は即座に動作しなくなります。
Add Keyをクリックする
分かりやすい名前を入力します（例：
Backend service）。任意でIP許可リストを追加し、承認されたサーバーからのみキーが使用できるように制限できます。
組織APIキー
組織APIキーは、組織内のすべてのアプリにまたがる操作に使用します。一般的なエンドポイント：- アプリ管理：アプリの作成、アプリの表示
- APIキー管理：APIキーの作成、APIキーの削除、APIキーのローテーション
Add Keyをクリックして名前を付ける
分かりやすい名前を入力します（例：
App provisioning）。任意でIP許可リストを追加できます。
IP許可リスト
IP許可リストはオプションですが、強く推奨されます。APIキーの使用を特定のIPアドレスに制限することで、漏洩したキーが他の場所から使用されることを防ぎます。- スペースで区切られたCIDRブロックを入力します（例：
192.0.2.0/24 192.0.2.123/32）。 - 許可されていないIPからのリクエストは拒否されます。
- 静的IPを持つバックエンドサービス。
- 高セキュリティの本番環境。
APIキーの管理
キーを作成した後、Settings > Keys & IDsのキーリストから編集、ローテーション、または削除できます。App APIキーはREST API経由でもこれらの操作をサポートします。組織APIキーはダッシュボード専用です。キーの編集
シークレット値を変更せずに、名前またはIP許可リストを更新します。インテグレーションの変更は不要です。 ダッシュボード、またはAPIキーの更新 APIを使用してください（App APIキーのみ）。キーのローテーション
ローテーションは、同じキーID、名前、IP許可リストを保持したまま新しいシークレットを生成します。古いシークレットは即座に動作しなくなります。 以下の場合にキーをローテーションしてください：- キーが漏洩した場合。
- アクセス権を持つチームメンバーが退職した場合。
- 定期的なセキュリティローテーションの時期になった場合。
- 元のキー値を紛失し、動作するシークレットが必要な場合。
キーの削除
削除はキーを永久に削除し、そのキーを使用するAPIアクセスを即座にブロックします。キーが不要になった場合に削除を使用してください。 ダッシュボード、またはAPIキーの削除 APIを使用してください（App APIキーのみ）。レガシーAPIキーからの移行
OneSignalは、命名、ローテーション、IP許可リストを備えたApp APIキーと組織APIキーを2024年11月に導入しました。レガシーのユーザー認証キー（User Auth key）と元のREST APIキーは引き続き使用できますが、それらの管理UIは削除されており、新規作成はできません。本番環境でレガシーキーを無効化する前に、ステージング環境でAPIリクエストを検証してください。
APIアクセスのブロック
キーを即座に失効させるには、Settings > Keys & IDsでローテーションまたは削除してください。古い値を使用したリクエストは即座に失敗します。 メッセージ送信を停止する、またはアプリ全体を一時停止するには、無効化されたアプリと組織を参照してください。セキュリティのベストプラクティス
- APIキーはセキュアなバックエンドに保管してください（クライアント側には置かないでください）。
- 環境変数またはシークレットマネージャーを使用してください。
- 可能な場合はIP許可リストを有効にしてください。
- 定期的にキーをローテーションしてください。
- ステージングと本番環境で別々のキーを使用してください。
よくある質問
APIキーはどこで確認できますか？
APIキーの値はos_v2_app_で始まり、キーの作成またはローテーションの直後に一度だけ表示されます。ダッシュボードのキーID列は内部識別子であり、APIキーではありません。認証に使用すると401 Unauthorizedを返します。キーの値を保存していない場合は、キーをローテーションして新しい値を生成してください。完全なフローについてはApp APIキーまたは組織APIキーを参照してください。
レガシーApp APIキーを取得できますか？
いいえ。OneSignalはレガシーApp APIキーを表示しなくなりました。コードベースで値が見つからない場合は、新しいApp APIキーを生成し、インテグレーションを更新してください。App ID、App APIキー、組織APIキーの違いは何ですか？
- App ID：アプリのパブリック識別子。SDKのセットアップとアプリを指定するAPIリクエストに使用します。
- App APIキー：1つのアプリのメッセージ送信とユーザー管理に使用するシークレットキー。
- 組織APIキー：アカウント全体のアプリと組織レベルの設定を管理するために使用するシークレットキー。
APIキーが漏洩した場合はどうなりますか？
すぐにキーをローテーションしてください。ローテーションは古い値を無効化し、同じキーID、名前、IP許可リストを保持したまま新しい値を発行します。その後、そのキーを使用するすべてのサービスを更新してください。予期しないAPIアクティビティがないか監査ログを確認してください。関連ページ
REST API概要
リクエストを認証し、OneSignal REST APIを理解します。
レート制限
キーごとのレート制限と大量送信インテグレーションのベストプラクティス。
監査ログ
キー、ユーザー、時間ごとにAPIとダッシュボードのアクティビティを確認します。
無効化されたアプリと組織
アプリを一時停止または停止し、課金への影響を理解します。