アクセストークンとは

アクセストークンは、サービスや API を利用する権限を表す文字列です。ログインや 認可 の手続きのあとに発行され、リクエストに付けて送ることで「この操作を許可された利用者である」ことを示します。

よく使われる場面

• OAuth 2.0 で、外部のアプリに自分のアカウントの一部の操作を許可するとき
• GitHub などの個人用アクセストークン（PAT）で、コマンドラインやツールから操作するとき
• ログイン中のアプリが API を呼び出すとき

APIキーとの違い

APIキー は主にアプリケーションを識別するための固定の文字列で、アクセストークンは利用者ごと・許可した範囲ごとに発行され、有効期限が付くことが多いのが一般的な違いです。

安全に扱うために

• 有効期限を短くし、必要な権限（スコープ）だけを付ける
• コードやログに残さず、漏えいが疑われたらすぐに無効化する
• ブラウザに保存する場合は、XSS で盗まれないよう保存場所に注意する

関連用語

APIキー、認可、最小権限