Instantly セキュリティの基礎

概要

Instantly APIキー、トークン、アクセス制御に関するセキュリティベストプラクティスです。

前提条件

• Instantly SDKがインストールされていること
• 環境変数の理解
• Instantlyダッシュボードへのアクセス

手順

ステップ1: 環境変数を設定する

# .env (決してgitにコミットしないこと)
INSTANTLY_API_KEY=sk_live_***
INSTANTLY_SECRET=***

# .gitignore
.env
.env.local
.env.*.local

ステップ2: シークレットローテーションを実装する

# 1. Instantlyダッシュボードで新しいキーを生成
# 2. 環境変数を更新
export INSTANTLY_API_KEY="new_key_here"

# 3. 新しいキーが機能することを確認
curl -H "Authorization: Bearer ${INSTANTLY_API_KEY}" \
  https://api.instantly.com/health

# 4. ダッシュボードで古いキーを取り消す

ステップ3: 最小権限の原則を適用する

環境	推奨スコープ
Development	read:*
Staging	read:*, write:limited
Production	必要なスコープのみ

出力

• セキュアなAPIキー保存
• 環境固有のアクセス制御
• 監査ログの有効化

エラーハンドリング

セキュリティ問題	検出方法	対策
APIキーの露出	Gitスキャン	すぐにローテーション
過度なスコープ	監査ログ	権限を削減
ローテーションの欠落	キーの年齢確認	ローテーション予定

例

サービスアカウントパターン

const clients = {
  reader: new InstantlyClient({
    apiKey: process.env.INSTANTLY_READ_KEY,
  }),
  writer: new InstantlyClient({
    apiKey: process.env.INSTANTLY_WRITE_KEY,
  }),
};

Webhookシグネチャ検証

import crypto from 'crypto';

function verifyWebhookSignature(
  payload: string, signature: string, secret: string
): boolean {
  const expected = crypto.createHmac('sha256', secret).update(payload).digest('hex');
  return crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
}

セキュリティチェックリスト

• APIキーが環境変数に設定されている
• .envファイルが.gitignoreに含まれている
• dev/staging/prodで異なるキーを使用している
• 環境ごとに最小権限スコープを設定している
• Webhookシグネチャが検証されている
• 監査ログが有効化されている

監査ログ

interface AuditEntry {
  timestamp: Date;
  action: string;
  userId: string;
  resource: string;
  result: 'success' | 'failure';
  metadata?: Record<string, any>;
}

async function auditLog(entry: Omit<AuditEntry, 'timestamp'>): Promise<void> {
  const log: AuditEntry = { ...entry, timestamp: new Date() };

  // Instantlyアナリティクスにログを送信
  await instantlyClient.track('audit', log);

  // ローカルにもログを記録してコンプライアンスに対応
  console.log('[AUDIT]', JSON.stringify(log));
}

// 使用例
await auditLog({
  action: 'instantly.api.call',
  userId: currentUser.id,
  resource: '/v1/resource',
  result: 'success',
});

リソース

• Instantly セキュリティガイド
• Instantly APIスコープ

次のステップ

本番環境へのデプロイについては、instantly-prod-checklistを参照してください。