トークン・アクセストークン・シークレットの教科書

トークン・シークレットとは何か

設定ガイドを読んでいると、「トークンをコピーして貼り付けてください」「アクセストークンを発行します」「シークレットを入力します」といった言葉が出てきます。実はこれらはほぼ同じものを指しています。長いランダムな文字列で、「これを持っている人は、特定の作業をしてよい」という証明書のような役割を果たします。

たとえるなら

ホテルのルームキーカードです。キーカードがあれば自分の部屋には入れますが、フロントの金庫やスタッフ専用室には入れません。しかも紛失してもフロントに言えばそのキーだけを無効化して、新しいキーを発行してもらえます。あなたの本人確認書類（パスポート）そのものとは違う、という点が重要です。

呼び方が「トークン」「アクセストークン」「シークレット」「APIキー」とばらつくのは、業界内でも用語が統一されていないためです。どれも大まかには「特定の作業を許可するための、秘密の文字列」という同じ意味だと考えて問題ありません。APIキーについてはAPIの教科書でも、トークンの一種として詳しく扱っています。

なぜパスワードをそのまま使わないのか

「それなら普段使っているパスワードを入力すればいいのでは？」と思うかもしれません。しかし、パスワードをツールに渡してしまうと、そのツールはアカウントの全権限を持つことになります。投稿だけでなく、請求情報の閲覧やパスワード変更まで、何でもできてしまうということです。

そこで多くのサービスは、ログイン時の認証の仕組みを通じて、用途を限定したトークンを別途発行します。「投稿はできるが、パスワード変更はできない」というように、権限を絞り込めるのが利点です。しかも、そのトークンだけをいつでも無効化・再発行できるので、本当のパスワードは変えずに済みます。

安全性のよくある疑問

漏れたらどうなる？	そのトークンだけをアカウント設定画面からすぐに無効化・再発行できます。パスワード漏えいのように「全部が危険になる」ものではありません
有効期限はある？	あります。多くのトークンには期限が設定されており、期限が切れると自動的に使えなくなります（これは安全のための仕組みです）
どこに貼ればいい？	ガイドが指定した、公式の設定画面にだけ貼り付けます。チャット・メール・スクリーンショットなど、それ以外の場所には絶対に貼らないでください
「コピーして貼り付け」は普通？	はい、正常な手順です。発行画面から一度だけコピーし、正しい設定欄に貼り付けて使う——これがトークンの標準的な使い方です

よくある不安

トークンを人に見せてしまったら？: すぐにそのサービスの設定画面から該当のトークンを無効化し、新しいものを発行し直してください。パスワードそのものを変える必要はありません。
コピーする時に間違えて誰かに送ってしまったら？: 気づいた時点で、発行元の設定画面からそのトークンを無効化するのが最優先です。無効化すれば、送ってしまった相手はそのトークンを使えなくなります。
トークンとパスワードは同じもの？: 違います。パスワードはアカウント全体の鍵ですが、トークンは「特定の作業だけ」を許可する限定的な鍵です。トークンが漏れても、アカウント自体が乗っ取られるわけではありません。
有効期限が切れたらどうすればいい？: 慌てる必要はありません。多くの場合、発行元の設定画面で同じ手順を繰り返すだけで、新しいトークンをすぐに発行し直せます。