APIは、システム同士でデータや処理をやり取りするための窓口です。エネがえるAPIを自社の画面・業務システムに組み込むことで、計算結果の表示や比較に活用できます。JSONは、そのデータを表す形式の一つです。
エネがえるAPIを安全に実装するには？
Webサイトやアプリから利用する場合も、APIキーやログイン情報は自社のサーバー側で管理してください。ブラウザのJavaScript、公開リポジトリ、画面に埋め込まないでください。
■基本構成
利用者のブラウザ／アプリ → 自社サーバー（中継API） → エネがえるAPI
自社サーバーで必要な認証を行い、利用者に必要な結果だけを返します。
■まず対象のAPIを確認してください
共通公開API、ASP、Biz、EV・V2Hなどで、利用できる機能や契約条件が異なります。実装するAPIの仕様書と契約範囲を確認してください。
公式仕様書の入口：https://www.enegaeru.com/documents/api-document
共通公開API：https://www-apidoc.enegaeru.com/sys/
■共通公開APIの認証の基本
以下は共通公開APIの説明です。他のAPI世代・製品は、それぞれの適用仕様書で確認してください。対象仕様で指定されたAPIキーを x-api-key に設定し、ログインで取得した uid を Authorization ヘッダーに設定します。uid の前に独自の接頭辞を加えず、対象仕様書の記載どおりに送信してください。
forcelogin=true でログインすると、以前のトークンが無効になります。単に「ログインするたび必ず以前のトークンが無効になる」とは扱わないでください。
■401／403が返った場合
HTTPステータスだけで原因を決めず、対象API、レスポンス本文、認証状態、契約オプションを確認します。特に403は、再ログインだけでは解消しない利用権限・契約範囲の問題である場合もあります。
同じ処理を無制限に再試行したり、forcelogin=true を繰り返して他の利用処理を切断したりしないでください。
■結果やログの扱い
保存の有無や保存範囲は対象APIによって確認してください。「すべてのAPIが一切保存しない」とは一般化できません。自社側で記録する場合も、保存目的、期間、閲覧権限を決め、パスワード・APIキー・認証トークンをログに残さないようにします。
問い合わせ時は、API名、発生時刻、HTTPステータス、秘密情報を除いたエラー本文をお知らせください。パスワードやAPIキーそのものの送付は不要です。
導入のご相談：info@enegaeru.com