APIキー

MCPエンドポイントの認証にはAPIキー、またはログインして許可する接続（OAuth）を使います。APIキーはユーザー単位で発行し、リクエストごとに Authorization ヘッダーで送ります。

Authorization: Bearer cmoai_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

Bearer の後は半角スペース1つです。上の値は書式を示す例で、実在するキーではありません。

OAuth接続

OAuth接続は、接続単位で「APIキー管理」の一覧に並びます。クライアント名と「OAuth接続」の表示を確認でき、既存のAPIキーと同じ「失効」操作でその接続だけを停止できます。

アクセストークンは短命で、有効期限は1時間です。クライアントは更新用トークンを使って自動更新します。更新用トークンの有効期限は90日です。接続自体は無期限で、一覧の「失効」を押すまで停止しません。

APIキーと同じく、リクエストごとに資格情報の一致、失効していないこと、有効期限内であること、発行ユーザーが接続に固定された組織へ現在も所属していることを確認します。認証後の組織の契約状態も毎回確認します。条件はAPIキーと同じです（下の「毎回確認されること」を参照）。無料トライアルが付与されていない組織、契約終了後、完全停止中は利用できません。

接続は、同意画面で許可した組織へ固定されます。CMO AI Proで表示中の組織を切り替えても、接続の保存先は変わりません。別の組織で使う場合は、その組織を選んで別のOAuth接続を作成し、組織切替後に一覧を確認します。

キーの書式

発行する

画面左下の「設定」→「APIキー管理」（/settings/api-keys）から発行します。

発行できるのは自分のキーだけです。他のメンバーの代わりに発行することはできません。

キーは発行時の組織に固定されます

キーは、発行したときに選択していた組織へ固定されます。CMO AI Pro上で表示中の組織を切り替えても、 そのキーの保存先・参照先は変わりません。エージェントの保存先が意図せず変わる事故を防ぐためです。

複数の組織で使う場合は、組織ごとにキーを発行し、エージェント側でも別のサーバー名で登録してください。

共同作業時の共有範囲

APIキーは個人に紐づき、キーを使った操作は発行ユーザーの操作として記録されます。一方、案件や戦略仮説など、CMO AI Proで組織共有されるデータは個人専用にはなりません。同じ組織の メンバーは、他のメンバーやそのエージェントが作成したデータもPro UIから確認・編集できます。

共同作業でもAPIキー自体は共有せず、各メンバーが自分のキーを発行してください。

毎回確認されること

リクエストのたびに次が確認されます。いずれかを満たさない場合はHTTP 401になります。

1. キーのハッシュが一致すること
2. 失効していないこと
3. 有効期限内であること
4. キーの発行ユーザーが、キーに固定された組織に現在も所属していること

4番目の確認があるため、退職・組織からの離脱によってキーは自動的に使えなくなります。

認証後には組織の契約状態も毎回確認します。Soloを含む有料プランの契約中と、無料トライアル中は利用できます。 無料トライアルが終了した組織、トライアルのクレジットが付与されていない組織は、接続は保たれますが、get_plan_status 以外のツールは plan_required を返します。 無料トライアルが付与されていない組織、契約終了後、完全停止中はHTTP 403になります。有料プランを契約すると、 発行済みのキーを再発行せずにそのまま利用できます。

組織の外は見えません

すべてのツールは、キーに固定された組織のデータだけを対象にします。他の組織のIDを指定した場合、 「存在しない」と同じ応答（not_found）が返ります。存在の有無も外部からはわかりません。

失効させる

次の場合はすぐに失効させてください。

• 使わなくなったとき
• 端末を紛失したとき
• 漏えいの可能性があるとき

画面左下の「設定」→「APIキー管理」→「自分のAPIキー」から対象の「失効」を押します。失効は取り消せません。 組織管理者は「組織のAPIキー」から、その組織に属するキーを失効できます。

失効後は、エージェント側の接続設定と、ローカルの環境変数やパスワード管理ツールに保存したキーも 削除してください。

保管のルール

• APIキーはパスワードと同じ機密情報です
• チャット、メール、スクリーンショット、Git、共有ドキュメントに貼らないでください
• 設定ファイルに平文で書かず、環境変数またはシークレット管理を使ってください
• キーは個人に紐づきます。共有せず、必要な人がそれぞれ発行してください

キーを使った操作はすべて、発行したユーザーの操作として記録されます。詳しくは セキュリティを参照してください。