Studioの不正アクセスで、Studioに登録したmicroCMSのAPIキーも漏えい対象になりますか？
Studio側は2026年10月17日に暗号鍵の切り替えを行い、既存データの再暗号化を進めている旨をセキュリティ通知で公開しました。とはいえ、鍵を新しく切り替えたとしても、不正アクセスが発生した時点で外部へ持ち出された恐れのある情報を保護できるわけではありません。
Data Connect APIやAPI連携（Beta）の設定に登録された外部サービスのキーやトークンは、内容を知られた可能性がある対象に入っています。この連携設定の内部で保持されていた外部サービスのAPIキーは、データベース上で暗号化されて保管されていました。ところが、今回の不正アクセスでは暗号化されたデータそのものに加え、暗号化を解くための復号鍵まで第三者に読み出されてしまいました。そのため、暗号化の有無にかかわらず、キーの文字列そのものが把握された可能性があると判断されています。
StudioとmicroCMSの連携は、microCMSで発行したAPIキーをStudioに登録し、Data Connect APIでコンテンツを取りにいく仕組みです。動的リストや動的ページでmicroCMSの記事を表示していたなら、そのキーも対象に含まれます。悪用が決まったわけではありませんが、知られた前提で動いたほうが落ち着いて対応できますね。
microCMSの管理画面で、管理者権限を持つ人が差し替えます。この切り替えを後回しにしていると、外部から自社のmicroCMS環境へアクセスされるリスクが残り続けます。
microCMSのAPIキーを再発行して差し替える手順は？
「まず古いキーを消せば安心」と思いがちですが、先に古いキーを失効させると、サイトでの連携が止まる場合があります。作業の基本は、microCMS側で新しいAPIキーを新規発行し、Studio側の設定値を更新してから、最後に古いキーを失効させるという順番で進めます。
- microCMSの管理画面でサイドバーのAPIキー一覧を開き、「追加」から新しいキーを作る（管理者権限を持つユーザーだけが操作できます）
- Studioのデザインエディタで接続パネルを開き、APIの「認証」の値を新しいキーに書き換える
- HTTPメソッドをGETにして「接続を確認」を押し、画面右にサンプル情報が出るのを見る
- microCMSに戻り、古いキーを失効させる
手順3でサンプル情報が出ないときは、キーより先にmicroCMS側の公開状態を見てください。非公開のコンテンツは、公開サイトに加えてエディターやライブプレビューにも出てきません。連携の設定中は、一覧のコンテンツを最低1件「公開中」にしておきます。設定画面の流れはStudioのmicroCMS連携手順で確かめられます。
なお、気をつけたいのがプランごとのAPIキーの作成上限です。Hobbyは1個、Teamは3個、Businessは10個、Enterpriseは20個。Hobbyでは古いキーを残したまま2個目を作れないため、この順番をそのまま踏めません。
新しいmicroCMSのAPIキーはGETだけの権限に絞るべきですか？
Studioでコンテンツを取得して表示するだけなら、GETだけで足ります。Studioの連携手順もHTTPメソッドにGETを指定する形で、microCMSでもデフォルト権限をGETのみにする運用例が示されています。
Studioに備わっているData Connect APIは、外部のAPIからデータを取得して画面上に配置するための機能です。設定画面ではGETとPOSTの双方が選べるようになっていますが、いずれのメソッドを選んだ場合でも外部サービスからデータを読み込む用途のみに限定されており、外部にあるデータを新しく作成したり更新したりする機能は持っていません。仕様の詳細はData Connect APIの連携ヘルプでも触れられています。
一方、microCMS側でPOSTやPUT、PATCH、DELETEといった書き込み権限を持たせたキーを発行してしまうと、万が一そのキーが外部へ漏れた際に、悪意ある第三者によってコンテンツを勝手に改ざんされたり消去されたりする危険が生じます。コンテンツの読み出ししか行わないStudio連携に対して、書き込み権限を与える理由は一切ありません。
ただし、GETにしただけで漏れても平気、とはなりません。GETでも、アクセスできる公開コンテンツは全件取得できます。下書き全取得の権限まで付けていれば、下書きも読まれます。APIキーを隠さなくてよい条件は、GET以外と下書き全取得の権限がないうえで、取れる情報がすべて公開されても困らないことです。
設定時にもうひとつ引っかかりやすいのが個別権限です。個別権限はデフォルト権限に足されるのではなく、そのAPIについて上書きされます。デフォルトをGETにしていても、あるAPIの個別権限をPOSTとPUTだけにすれば、そのAPIではGETが外れます。
microCMSのAPIキーが漏えいした可能性があるとき、ほかに何を確認しますか？
キーを差し替えたら、それで終わりでしょうか。古いキーが知られていた可能性がある以上、その間に何かされていないかも見ておきたいところです。
はじめに確認したいのは、これまでにStudioへ登録していた旧APIキーに付与されていた権限の内容です。POST・PUT・PATCH・DELETEのような書き込み系の権限が付いていたなら、コンテンツを書き換えられるおそれがありました。公開中の記事に覚えのない変更がないか、一覧を見ておきましょう。
続いて、APIの利用履歴やアクセス規模の推移を点検します。Studioからの注意喚起にもあるように、不正アクセスの発生時期を考慮し、2026年9月30日以降に身に覚えのない不自然なAPIリクエストが発生していないかを確認しましょう。もし不審なアクセスを発見した際は、microCMSとStudioの双方のサポート窓口へ速やかに報告することが求められます。
確認に使える画面は、プランによって違います。
- データ転送量：サービス設定の「データ転送量」画面で今の量を見られます。Hobbyはデータ転送量の上限が20GBで、超えるとすぐにAPIが止まります
- 監査ログ：管理画面やAPIでの操作を追えます。使えるのは管理者権限を持つメンバーだけで、対応するプランは監査ログの機能で確かめてください
転送量が急に増えていれば、第三者がコンテンツをまとめて取得した手がかりのひとつになります。もっとも、転送量が増えていても、アクセスが伸びただけのこともあります。