2026-11-10 00:22（UTC+8）、APIYIは復旧のお知らせを公開しました。猶予期間は2027-12-31 23:59（UTC+8）まで継続されます。現在はコンソールにログインすれば、72時間待たずにPasskeyと2FAを直接登録できます。旧システムのトークンが無効になるのは、あくまで予定で、日付は2026-11-11（UTC+8）です。プラットフォームは、利用状況に応じて期間を延長するかどうかを判断すると明記しています。2026-11-10時点では、「すでに無効化された」または「延長が決定した」という新たなお知らせはありません。
作業を始める前に、3種類の認証情報を区別しておきましょう。ここを押さえておけば、後の手順で間違えずに済みます。Webサイトへのログインにはパスワード、Passkey、2FAを使います。モデル呼び出しには sk- で始まるモデルキーを使います。スクリプトから残高やログを確認したり、キーを管理したりするには、nap_ で始まる個人用アクセストークンを使います。これらは相互に代用できません。この記事では、個人センターの画面に表示される順番に沿って、1つずつ設定していきます。
APIYI Passkey、2FA、トークンの要点
次の表が、この記事の基本です。以降、迷ったときはここに戻って、手元にある認証情報の種類を確認してください。
| 認証情報 | 形式 | できること | できないこと | 管理場所 |
|---|---|---|---|---|
| ログイン認証（パスワード、Passkey、2FA、GitHub） | 指紋、顔認証、画面ロック用パスコード、または6桁のワンタイムコード | コンソールへのログインを保護し、エクスポートなどの機密性の高い操作で再認証に使う | モデルや管理用インターフェースの呼び出し | 個人センター |
| モデルキー（API Key） | sk-で始まる |
OpenAI、Claude、Geminiなどのモデルを呼び出す | ログインの保護。漏えいした場合、2FAでも防げない | トークンページ |
| 個人用アクセストークン | nap_で始まる |
スクリプトから残高やログを確認し、モデルキーを管理する | モデルの呼び出し、パスワードや2段階認証の変更 | 個人センター → アカウントオプション |
個人センターのURLは https://api.apiyi.com/account/profile です。サイト右上または左側のナビゲーションにある「個人センター」からもアクセスできます。以降の認証情報の登録や作成は、すべてこのページから始めます。
まだ「72時間待つ必要がある」と表示されますか？APIYIのPasskeyと2FAの現在のルール
72時間ルール自体が廃止されたわけではありません。現在は猶予期間中のため、適用が一時停止されています。公式ドキュメント、プラットフォームからの通知、そこから整理できる操作手順、そしてドキュメントに記載されていない点を、推測を事実と混同しないよう4つに分けて説明します。
| 情報の種類 | 内容 |
|---|---|
| 公式の従来ルール | パスワードだけでログインするアカウントは、同じログインセッションと環境で72時間安定してログインし続けてから、初めて認証方法を登録できます。ネットワークを切り替えると、待機時間がリセットされます |
| プラットフォームからの通知（10-04） | 2027-12-31 23:59（UTC+8）までを認証方法の登録に関する猶予期間とし、ログイン後すぐに登録できます。ただし、リスクの高いログインは従来のルールに基づいて引き続きブロックされます |
| プラットフォームからの通知（11-10） | 11月6日のサーバー切り替え後、猶予措置が新しい環境で一時的に適用されていませんでしたが、現在は復旧しています |
| 猶予期間の終了後 | 従来のルールに戻ります。新しい環境でパスワードだけを使ってログインするアカウントは、新しい認証方法を追加するまで72時間安定してログインし続ける必要があります。すでに登録済みの認証方法には影響しません |
| ドキュメントに記載されていない点 | 猶予期間終了後、リスクの高いログインが具体的にどのようにブロックされるかは、ドキュメントに記載がなく、後続の通知もありません |
11月6日以降に「待機が必要」と表示された場合、その原因はサーバーの切り替えであり、アカウントに問題があるわけではありません。現在はページを更新すれば、もう一度試せます。猶予期間はまだ1年以上ありますが、今日のうちに認証方法を登録しておくのがおすすめです。2027年末以降、新しい環境からログインする際に72時間待たされずに済みます。
🎯 操作のアドバイス：認証方法の登録はログイン済みの状態で行い、認証方法を1つ追加するだけです。残高、モデルのAPIキー、呼び出し履歴には影響しません。登録中も、APIYIのAPI呼び出しが中断されることはありません。
APIYIのPasskeyと2FAはどの順番で設定する？
公式が推奨する順番は、先にPasskeyを登録し、その後に予備として2FAを登録する方法です。逆の順番にすると、つまずきやすいポイントがあります。詳しくは次のセクションで説明します。
ステップ1：APIYIのPasskeyを登録する
アカウントページを開き、ページ最下部の「アカウントオプション」までスクロールして、Passkeyを登録をクリックします。ブラウザーにシステムウィンドウが表示され、「apiyi.comのパスキーを保存する場所」を選ぶよう求められます。まず、ウィンドウ内のドメインが正しいことを確認してください。ドメインが異なる場合は、先に進まないでください。
保存先を選んだら、指紋認証、顔認証、または画面ロック用のパスワードで認証します。完了すると、ボタンがPasskeyを解除に変わり、横に最終使用時刻が表示されます。次回ログインページを開くと、Passkeyでログインできるようになります。
保存先によって、このキーを新しいデバイスでも使えるかどうかが変わります。以下の表を参考に選んでください。
| 保存先 | 適した用途 | 同期の有無 |
|---|---|---|
| iCloudキーチェーン | Mac、iPhone、iPad | 自分のAppleデバイス間で同期 |
| Googleパスワードマネージャー | Chrome、Android | デバイス間で同期 |
| スマートフォン、タブレット、セキュリティキー | 他人のパソコンで一時的にログインする場合。パソコンでQRコードを読み取り、自分のスマートフォンで認証 | キーはスマートフォンまたはセキュリティキーに保存 |
| このパソコンのブラウザープロファイル | このパソコンだけで使う場合 | 同期されないため、パソコンの買い替えやOSの再インストール後は使えなくなります |
Passkeyについて、あらかじめ知っておいてほしい点がいくつかあります。PasskeyはWebAuthn / FIDO2に基づいており、秘密鍵はデバイスまたはパスワードマネージャーにのみ保存されます。サーバーに保存されるのは、秘密鍵を復元できない公開鍵だけです。指紋認証や顔認証もデバイス内で行われ、外部に送信されることはありません。Passkeyでは新しいアカウントを登録できず、パスワードの代わりにもなりません。登録後も、パスワードやGitHubでのログインはこれまでどおり使えます。また、公共のパソコンでは登録しないでください。
ステップ2：2FAを登録して、バックアップコードを別に保存する
アカウントページに戻り、ページ下部にある2FAの項目を開きます。Google Authenticator、Microsoft Authenticator、またはTOTPに対応した別の認証アプリでQRコードを読み取り、認証アプリに表示される30秒ごとに更新される6桁のコードを入力します。
登録が完了すると、バックアップコードが表示されます。必ず保存してください。スマートフォンを買い替えたり、デバイスを紛失したり、認証アプリを誤って削除したりした場合に、バックアップコードを使って再ログインできます。認証アプリを入れたスマートフォンにスクリーンショットを保存するだけにせず、別のデバイスのパスワードマネージャーに保存するか、紙に書いて安全な場所に保管してください。
登録後、Webサイトへのログイン、APIキーの作成、エクスポートなどの重要な操作で、2FAコードの入力やPasskeyによる認証を求められることがあります。これは正常なセキュリティ確認であり、エラーではありません。
APIYIでパスキーや2FAを登録できず、「認証状態の保存に失敗しました」と表示される場合
つまずきポイント1：ページに「待機が必要」と表示される
猶予期間中の利用許可は、ログインセッション単位で適用されます。以前にログインしたセッションの一部では、再認証が必要になったことがあり、そのまま自動で利用可能にはなりません。同じセッションで何度操作しても、待機を求めるメッセージが表示され続けます。以下の順にお試しください。
- ページを更新して、もう一度操作します。
- それでも待機を求められる場合は、アカウントからログアウトして、再度ログインします。新しいセッションが作成されます。
- 1分ほど待ち、システム側で利用許可が反映されたら、アカウント設定ページを更新して登録します。
- それでも解決しない場合は、最新版のChrome、Edge、Safariを使用し、端末に画面ロック用のパスワードまたは生体認証が設定されていることを確認してください。
また、アプリ内ブラウザーの一部はWebAuthnに対応していません。「パスキーを登録」をタップしても、ダイアログが表示されない場合があります。その場合は、端末の標準ブラウザーで操作してください。
つまずきポイント2：先に2FAを登録し、パスキーを登録しようとすると「認証状態の保存に失敗しました」と表示される
先に2FAを登録すると、現在のログイン状態を再認証するよう求められます。この状態で続けてパスキーを登録しようとすると、「認証状態の保存に失敗しました」と表示されます。解決するには、アカウントからログアウトし、パスワードと2FAの認証コードで再度ログインしてから、マイページの下部に戻り、「パスキーを登録」をタップしてください。
GitHubで登録したアカウントは、GitHubログインを利用できます。別途パスワードを設定する必要はありません。どのアカウントでも、パスワード、登録メールアドレス、GitHubなど、予備のログイン方法を1つは残しておくことをおすすめします。特定の端末のパスキーだけに頼らないようにしましょう。
💡 ヒント：登録は認証方法の変更にあたります。公式ドキュメントには、「パスワード、2段階認証、パスキーのいずれかを変更すると、すべての個人アクセストークンが無効になります」と記載されています。登録後に管理スクリプトが401を返すようになった場合は、マイページで個人アクセストークンを再作成し、置き換えてください。モデル呼び出しには影響しません。
APIYIのモデルキー、個人アクセストークン、旧システムトークンの違い
モデルキー（sk-）はトークンページ https://api.apiyi.com/token で管理します。モデル呼び出しに使用し、発行数に上限はありません。個人アクセストークン（nap_）は、個人センターのアカウント設定から管理インターフェースを呼び出すために発行します。1アカウントにつき最大20個まで作成できます。旧システムトークンは管理インターフェース用の旧認証情報で、今後は個人アクセストークンに置き換わります。
| 比較項目 | 旧システムトークン | 個人アクセストークン |
|---|---|---|
| 権限 | アカウントのすべての権限を持つ | 必要な権限を選択。読み取り、書き込み、キーの表示はそれぞれ独立 |
| 発行数 | 1アカウントにつき1個 | 最大20個 |
| 有効期限 | なし | デフォルトは30日。90日、180日、365日、任意の期間、または無期限を選択可能 |
| IP許可リスト | 非対応 | IPv4、IPv6、CIDRに対応。作成後は変更不可 |
| プレフィックス | 固定のプレフィックスなし | nap_ |
| 状態 | 2026-11-11（UTC+8）から無効化予定 | 現在推奨 |
管理スクリプトをAPIYIの個人アクセストークンに切り替える
- 個人センターを開き、アカウント設定から 個人アクセストークン をクリックして、右上の トークンを作成 をクリックします。
- 「照合スクリプト」「残高監視」など、用途に合わせて名前を付けます。有効期限は、たとえば365日のように長めに設定するのがおすすめです。
- IP許可リストは空欄のままにします（空欄の場合は制限なし）。スクリプトで必要な権限だけを選択します。
- トークンを作成 をクリックしたら、すぐにコピーして保存します。その後、スクリプトの環境変数や設定にある旧トークンを新しいトークンに置き換えます。
エンドポイントやコードを変更する必要はありません。ベースURLは引き続き https://api.apiyi.com です。リクエストヘッダーのAuthorizationにはトークンそのものを設定します。Bearerプレフィックスは付けても付けなくても構いません。
権限はAPIごとに選択してください。必要以上に権限を付与すると、かえってリスクが高まります。
- 残高の確認
GET /api/user/self：「個人情報 · 読み取り」を選択します。 - ログの確認
GET /api/log/self：「利用状況と個人記録 · 読み取り」を選択します。 - モデルキーの一覧表示・確認：「モデルキー · 読み取り」を選択します。作成・変更・削除には「モデルキー · 書き込み」を選択します。キーの平文を取得するには「モデルキー · キーの表示」を選択します。
書き込み権限を付与しても、読み取りができるようになるわけではありません。また、読み取り権限があっても、キーの平文は表示されません。パスワード変更や2段階認証などの操作は、トークンに書き込み権限を付与しても実行できず、ウェブサイトにログインして操作する必要があります。
スクリプトの動作確認ができたら、IP許可リストを設定した本番用トークンを新たに作成し、本番サーバーや予備サーバーなどのパブリックIPアドレスを登録します。複数のアドレスは半角カンマで区切って入力してください。本番用トークンに切り替えたら、IP許可リストを設定していないテスト用トークンは削除します。スクリプトごとにトークンを1つ使えば、漏えい時も該当するトークンだけを削除すれば済みます。
🚀 移行のすすめ：2026-11-11の無効化予定日より前に、APIYIで切り替えておくのが最も確実です。当日に本当に無効化されるか、後から一時的に延期されるかについては、現時点で文書に追加のお知らせがありません。直前の延期をあてにしないようにしましょう。
APIYIのAPIキーが漏えいした場合や、スクリプトで401エラーが出た場合に最初にすべきこと
モデルのAPIキーが漏えいした場合：まず無効化してから調査
モデルのAPIキーで利用できる上限は、アカウント残高です。漏えいに気づいたら、まず https://api.apiyi.com/token にアクセスし、そのトークンを削除または無効化してください。被害をすぐに食い止める唯一の方法なので、原因調査よりも先に行いましょう。
その後、新しいトークンを作成します。無制限の利用枠をオフにして、利用上限を設定してください。必要に応じて「高度なオプションを有効にする」にチェックを入れ、IP許可リストや利用可能なモデルを設定したうえで、アプリの設定を更新します。最後に、呼び出しログを確認し、見覚えのないモデルや異常な呼び出し量、不審な時間帯の利用がないかを調べましょう。コード、ドキュメント、スクリーンショット、会話履歴などに残った漏えい元も削除してください。
以前RailwayにAPIキーを設定していて、まだローテーションしていない場合は、先に古いキーを無効化してから、新しいキーを作成して差し替えます。環境変数を更新し、再デプロイしてください。Railwayを利用したことがない場合は、この通知を理由にローテーションする必要はありません。
スクリプトで401または403エラーが出た場合：エラーメッセージに応じて対処
| ステータスコード | エラーメッセージ | 原因 | 対処 |
|---|---|---|---|
| 401 | ACCESS_TOKEN_LEGACY_RETIRED |
旧システムのトークンを使用しており、すでに廃止日を過ぎている | 個人用アクセストークンを作成して差し替える |
| 401 | This access token may not be used from the current IP address. |
接続元のIPアドレスが許可リストに登録されていない | 許可リストは変更できないため、新しいトークンを作成する |
| 403 | ACCESS_TOKEN_SCOPE_DENIED |
対応する権限が選択されていない | 新しいトークンを作成し、必要な権限を選択する |
| 401 | トークンが無効であるというメッセージのみ | 有効期限切れ、削除済み、またはパスワード・2段階認証・パスキーを変更した | 個人センターに戻り、トークンを再作成する |
問題が起きてから対処するより、日頃から予防しておくほうが簡単です。テスト用のモデルAPIキーでは無制限の利用枠をオフにし、上限を5〜50ドルに設定することをおすすめします。また、有効期限も設定してください。開発環境と本番環境ではキーを分け、実際のキーをコードやGitに記載しないようにしましょう。外部に公開するスクリーンショットでは、sk-your-api-key のようなプレースホルダーを使ってください。
よくある質問（FAQ）
Q1：APIYIのPasskeyや2FAを設定しても、パスワードでログインできますか？
できます。追加認証はセキュリティを強化するもので、パスワード認証に代わるものではありません。GitHubログインも引き続き利用できます。一部の操作では、動的コードまたはPasskeyによる追加認証が求められます。
Q2：2FAのバックアップコードをなくした場合はどうすればよいですか？
ログインできる場合は、個人センターで2FAを再設定し、新しいバックアップコードを保存してください。バックアップコードがなく、アカウントにもログインできない場合は、[email protected]までお問い合わせください。本人確認のうえ、2FAの解除をサポートします。
Q3：自宅のネットワークで個人用アクセストークンにIPホワイトリストを設定すべきですか？
おすすめしません。自宅や職場のネットワークでは、外部に接続する際のIPアドレスが変わることがあり、ホワイトリストを設定すると突然401エラーが発生する可能性があります。代わりに読み取り専用の権限を設定し、有効期限を短めにする方法がおすすめです。
Q4：個人用アクセストークンでモデルを呼び出せますか？
できません。モデルの呼び出しには、引き続き`sk-`で始まるモデルキーを使用し、base_urlには`https://api.apiyi.com/v1`を指定してください。`nap_`トークンは、残高・ログ・トークン管理用のAPIでのみ使用できます。
Q5：個人用アクセストークンのIPホワイトリストを間違えて設定した場合、変更できますか？
変更できません。個人用アクセストークンのIPホワイトリストは、作成後に変更できないため、新しいトークンを作成してから古いトークンを削除してください。モデルキーのIPホワイトリストは別の設定です。一時的に空にしてから再設定できますので、混同しないようご注意ください。
Q6：スマートフォンを買い替えた場合、Passkeyは引き継がれますか？
保存先によって異なります。iCloudキーチェーンやGoogleパスワードマネージャーに保存されているPasskeyは同期されますが、端末のブラウザープロファイルだけに保存されているものは同期されません。端末を紛失した場合は、パスワードまたはGitHubでログインし、古いPasskeyを解除してから新しい端末で再登録してください。
まとめ：今日中に済ませたい4つのこと
- Passkeyを登録する：個人センターの下部にあるアカウント設定から「Passkeyを登録」を選び、複数のデバイス間で同期できる保存先を優先しましょう。
- 2FAを設定し、バックアップコードを別の場所に保存する：バックアップコードは、認証アプリをインストールしたスマートフォンだけに保存しないでください。
- テスト用トークンの無制限利用をオフにする：トークンページで、テスト用モデルキーに少額の利用上限を設定しましょう。
- 管理スクリプトを個人アクセス トークンに切り替える：2026-11-11の利用停止予定日より前に、古いシステムトークンを
nap_トークンに置き換えましょう。
4つの作業はすべてhttps://api.apiyi.com/account/profileから始められ、十数分で完了します。作業後は、ログイン、モデル呼び出し、管理スクリプトでそれぞれ別の認証情報を使うため、どれか1つに問題が起きても、その認証情報だけを対処すれば済みます。
著者：APIYI技術チーム
技術情報の交換：アカウントやトークンについて詳しくは、docs.apiyi.comのドキュメントセンターにある「アカウントセキュリティ」と「個人アクセス トークン」のFAQをご覧ください。
