トークンはいつ切れ、どう取り消すか

4 分で読む

連携の設定でトークンを 1 本発行すると、そのあと誰も触りません。動いているからです。

問題は、そのトークンが誰かの手に渡ったときに起きます。「どうやって止めるのか」を、その場で調べ始めることになります。

調査記録で公開している 89 システムについて、トークンの期限と取り消しについて提供元が書いている箇所を 1 件ずつ読みました。

寿命は 30 分から「無期限」まで開く

期限について提供元の言葉が取れたのは 7 件です。同じ「API のトークン」でも、寿命は 60 倍以上ちがいます。

そして同じ製品の中でも、どの入口から取ったかで違います。Chatwork は管理画面から取る API トークンに期限が無く、OAuth の認可から取るアクセストークンは 30 分です。

提供元の言葉で見る

まずアクセストークン、つまり毎回の呼び出しに載せる方です。

次に更新用トークン、つまりアクセストークンを取り直すための方です。こちらの方が長く生きます。

期限の無いトークンは 3 通りの入口からできる

3 つとも、設定を間違えたわけではありません。提供元が用意した正規の選択肢です。

Chatwork の API トークンについては、期限が無いことと機能にフルアクセスできることが同じ一文に書かれています。Chatwork API の認証方式 原文 片方だけではなく、両方が同時に成り立つ点が読みどころです。

「切れる」と「取り消せる」は別のこと

ここが、この調べでいちばん差が出たところです。

bownow は、鍵を作り直すと発行済みのトークンがすべて消えると書いています。BowNow API の認証方式 原文 漏れたときに何をすればよいかが、そのまま手順になっています。

Zoho CRM は、更新用トークンが利用者に取り消されるまで有効だと書いています。Zoho CRM API の認証方式 原文 取り消せること自体が、寿命の説明の中に含まれています。

残りは、期限を書いていても取り消しには触れていません。触れていないことは「取り消せない」という意味ではなく、そこを読んでも分からない、という意味です。

こう確かめる — 連携を始める前に

聞き方はこうなります。

「このトークンの有効期限は何時間ですか。更新用トークンはどうですか。漏れた可能性があるとき、こちら側で止める手段はありますか。その手順はどこに書かれていますか。」

4 つ目に答えられない場合、止める手段が無いのではなく、使う側が探しに行く必要があるという意味です。

ここから先は調査の詳細です（約 1 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。