Skip to main content

​
認証方式

AgentWallexは2つの認証方式をサポートしています：

​
APIキー認証

APIキーは、サーバーサイドおよびSDK統合に推奨されるアプローチです。すべてのキーはawx_プレフィックスで始まります。
クライアントサイドのコード、公開リポジトリ、またはログにAPIキーを公開しないでください。常に環境変数から読み込んでください。

​
環境変数

APIキーを環境変数として保存します：

​
JWTベアラートークン認証

WebアプリケーションやOAuthフローには、JWTベアラートークンを使用します。トークンはGoogle OAuthフローを通じて取得されます：
1

OAuthフローの開始

ユーザーをGoogle OAuthエンドポイントにリダイレクトします：
2

コールバックの処理

認証後、GoogleがワンタイムコードとともにコールバックURLにリダイレクトします：
3

トークンの交換

ワンタイムコードをアクセストークンとリフレッシュトークンに交換します：
4

アクセストークンの使用

Authorizationヘッダーにアクセストークンを含めます：

​
トークンの更新

アクセストークンには有効期限があります。リフレッシュトークンを使用して新しいアクセストークンを取得します：

​
ログアウト

現在のセッションを無効にします：

​
セキュリティのベストプラクティス

統合を安全に保つために、以下のプラクティスに従ってください。
  • 環境変数を使用する — ソースコードにAPIキーをハードコードしないでください。
  • 定期的にキーをローテーションする — 少なくとも90日ごとにAPIキーをローテーションしてください。ローテーション手順についてはAPIキーを参照してください。
  • 必要最小限のスコープを使用する — 環境ごと（サンドボックスと本番）に別々のAPIキーを作成してください。
  • IP許可リストを有効にする — GrowthおよびEnterpriseプランで利用可能で、既知のIPへのAPIアクセスを制限します。
  • 監査ログを監視する — ダッシュボードまたはGET /audit-logsで認証イベントを確認してください。
  • 開発にはサンドボックスを使用する — 本番キーや実際の資金でテストしないでください。