API Locker

API Locker

1つの保管庫で、3種類の認証情報を管理できます。 LLM API キー、サービス API キー、OAuth 認証情報をすべて暗号化し、1つのコマンドでコードに注入できます。

API Locker は .env ファイルを、1つの暗号化された保管庫に置き換えます。OpenAI キー、Stripe のシークレット、Google OAuth クライアントをすべて1か所に保存し、apilocker run -- npm start であらゆるコマンドに注入できます。生の認証情報がディスクに書き込まれたり、シェルの履歴に残ったり、git にコミットされたりすることはありません。

これはコマンドラインインターフェースです。ウェブサイト · ダッシュボード

インストール

npm install -g apilocker

Node.js 18 以降が必要です。

3つのコマンドで始めましょう

# 1. Install the CLI (above)

# 2. Register this device — opens your browser for a one-click confirmation
apilocker register

# 3. Run any command with your vault secrets injected as env vars
apilocker run -- npm start

これで完了です。通常なら .env ファイルに記述する process.env.OPENAI_API_KEY、process.env.STRIPE_SECRET_KEY、process.env.GOOGLE_OAUTH_CLIENT_SECRET など、すべての値が、コマンドの実行中に限りサブプロセスに注入されます。コマンドが終了すると、シークレットは消去されます。

1つの保管庫で、3種類の認証情報を管理

🧠 LLM API キー

OpenAI、Anthropic、Gemini、Groq、Mistral。

apilocker store --name OPENAI_API_KEY --provider openai --key sk-proj-xxxxx
apilocker run -- node my-ai-app.js

⚡ サービス API キー

Stripe、Twilio、Resend、ElevenLabs、Cloudflare、GitHub、Clerk、Sentry、PostHog、Cloudinary、Mux、SendGrid、Vercel、Upstash、LemonSqueezyに加え、その他のサービス向けにカスタム設定も利用できます。

apilocker store --name STRIPE_SECRET_KEY --provider stripe --key sk_live_xxxxx
apilocker run -- npm start

🔗 OAuth 認証情報

Google、GitHub、Slack、Microsoft、Notion、Spotify、Twitter/X、LinkedIn、Discord、Zoom、Dropbox、Salesforce、HubSpotに加え、その他のサービス向けにカスタム OAuth も利用できます。

apilocker store --oauth \
  --name google-oauth \
  --provider google-oauth \
  --client-id 856449...apps.googleusercontent.com \
  --client-secret GOCSPX-xxxxx \
  --scopes "openid email profile"

# Injects GOOGLE_OAUTH_CLIENT_ID, GOOGLE_OAUTH_CLIENT_SECRET, etc.
apilocker run -- node oauth-app.js

コマンド一覧

コマンド	機能
apilocker register	ブラウザーでの確認を通じて、このデバイスを登録します。トークンを貼り付ける必要はありません。
apilocker store	認証情報を保存します。複数フィールドの OAuth には --oauth、それ以外には --key を指定します。
apilocker list	認証情報を LLM／サービス／OAuth のカテゴリに分けて一覧表示します。--tag、--provider、--category、--search で絞り込めます。
apilocker run -- <cmd>	保管庫のシークレットを環境変数として注入し、任意のコマンドを実行します。
apilocker get <alias>	1つのシークレット値を標準出力に表示します（スクリプト向け）。OAuth のフィールドには --field を指定します。
apilocker env	シェルで評価できる export 文を出力します。eval "$(apilocker env)" を実行すると、現在のシェルに読み込めます。
apilocker init	コミット可能な .apilockerrc ファイルを使って、特定のキーをプロジェクトディレクトリに固定します。
apilocker import .env	既存の .env ファイルを保管庫に移行します。プロバイダーのプレフィックスをパターン照合し、.env を .apilockerrc に置き換えることを提案します。
apilocker rotate <alias>	認証情報の値を置き換えます。スコープ付きトークンはそのまま使用でき、ローテーションは利用側に透過的です。
apilocker rename <old> <new>	認証情報のエイリアス名を変更します。データの損失はありません。旧名を参照する既存の .apilockerrc ファイルも、透過的なフォールバックにより引き続き使用できます。
apilocker pause <alias> / resume <alias>	削除せずにプロキシアクセスを一時停止します。一時停止中の認証情報も、Reveal／run／get／env では引き続き使用できます。
apilocker delete <keyId>	認証情報を完全に削除します。
apilocker devices list / revoke <id>	アカウントに登録されたデバイスを管理します。
apilocker token create/list/pause/resume/delete	アプリ／プロキシで使用する、スコープ付きアクセストークンを管理します。
apilocker activity	監査ログを表示します。--follow／-f を追加すると、新しいイベントをリアルタイムでストリーミングします。
apilocker doctor	セキュリティのヘルスチェックを実行します。古いローテーション、未使用のキー、期限切れ間近のトークン、ローカル設定の権限を確認します。
apilocker update	npm で新しいバージョンを確認します。

.apilockerrc ファイル

コミット可能な設定ファイルを使って、プロジェクトで使用する認証情報を固定できます。apilocker init を実行すると、作成手順が案内されます。

# .apilockerrc — safe to commit to git, contains only pointers
keys:
  - OPENAI_API_KEY
  - STRIPE_SECRET_KEY
  - google-oauth

apilocker init の実行後、リポジトリをクローンした人が apilocker run -- npm start を実行すると、自分のボールトで該当エイリアスを利用できる場合、同じ環境変数が設定されます。これは認証情報用の package.json のようなものです。ファイルにはプロジェクトが必要とするものが宣言され、開発者はそれぞれ自分のボールトを持ちます。

CLI でマスタートークンを貼り付けるよう求めない理由

多くの開発者向けツールとは異なり、apilocker register ではダッシュボードから取得したシークレットの貼り付けを求めません。代わりに、次の手順で登録します。

1. apilocker register を実行します。
2. ブラウザーで、確認用のカードが1枚だけ表示されたページが開きます。
3. 「Authorize」をクリックします。
4. CLI は認証済みのポーリングチャネルを介してデバイスごとのマスタートークンを受け取ります。クリップボード、シェルの履歴、画面にトークンが表示されることはありません。

これは RFC 8628 のデバイス認証フローです（gh、vercel、wrangler、flyctl、gcloud で使われているものと同じ方式です）。シークレットが人の不注意によって漏えいする可能性のある場所に表示されないため、トークンを貼り付ける方式よりも安全です。

初めて利用する場合も、同じフローで登録できます。GitHub／Google で初めて OAuth による認証を行うと、アカウントが自動的に作成されます。Web ポータルに別途アクセスする必要はありません。

MCP 連携 — AI アシスタントを接続する

API Locker は、25 個のツールを備えたModel Context Protocol サーバーを提供します。Claude Code、Claude Desktop、Cursor、Zed、Continue など、MCP 対応のクライアントからボールトを直接読み取り、管理できます。

Claude Code — 1つのコマンドで設定

claude mcp add apilocker -- apilocker mcp

claude mcp list を実行して確認してください。apilocker: apilocker mcp - ✓ Connected と表示されます。サーバーは次回の Claude Code セッションから自動的に利用できます。

Claude Desktop、Cursor、Zed、Continue

CLI には、接続を自動的に処理する標準入出力ブリッジ apilocker mcp が付属しています。任意の MCP クライアントに次の設定を行ってください。

{
  "mcpServers": {
    "apilocker": {
      "command": "apilocker",
      "args": ["mcp"]
    }
  }
}

ブリッジは ~/.apilocker/config.json からマスタートークンを自動的に読み込みます。クライアントの設定自体に認証情報を含める必要はありません。

クライアント別の設定を出力するには、組み込みのヘルパーを使います。

apilocker mcp config --client claude-desktop   # or claude-code, cursor, continue, zed, generic

詳細なドキュメント： https://www.apilocker.app/docs/mcp — クライアントごとの設定ファイルの場所、トラブルシューティング、25 個すべてのツールの一覧が記載されています。

ステータスの表示： ダッシュボードには専用の MCP パネル（https://www.apilocker.app/dashboard#mcp）があり、サーバーのステータス、接続テストボタン、主要な各クライアント向けのコピーして貼り付けられる設定、最近の MCP アクティビティのリアルタイムフィードを確認できます。

セキュリティ対策

• 保存されているすべての認証情報を AES-256-GCM で暗号化します。認証済みのマスタートークン所有者（あなた）に表示する場合を除き、鍵が平文でボールトから出ることはありません。
• デバイスごとのトークンを使い、デバイスごとに個別に失効できます。ノート PC を盗まれた場合、そのデバイスだけを失効させれば、ほかのデバイスは引き続き利用できます。
• OAuth の CSRF 保護では、10 分間の KV ウィンドウに紐付けられた状態トークンを使います。
• ~/.apilocker/config.json に対する厳格なファイル権限（0600）。
• すべての操作を監査ログに記録します。表示、プロキシ呼び出し、名前変更、ローテーションのすべてが対象です。apilocker activity --follow でリアルタイムに確認できます。
• 以前の名前へのフォールバックに対応した、情報を失わない名前変更：認証情報の名前を変更しても、既存のコードが壊れることはありません。古いエイリアスは現在の認証情報に透過的に解決され、設定の更新を促すメッセージが表示されます。
• 一時停止／再開により、認証情報自体は失わずに、インシデント対応中のプロキシアクセスを停止できます。

設定

設定は ~/.apilocker/config.json（モード 0600）に保存されます。このファイルをリポジトリにコミットしないでください。

セルフホスト環境で API エンドポイントを上書きするには、次のようにします。

apilocker register --url https://api.your-locker.example.com

ステータス

API Locker は、キー数、トークン数、プロキシ呼び出し数に制限なく、無料で利用できます。有料プランの開始後も、早期利用者は恒久的に無料の Pro プランを利用できます。

Links

• Website: www.apilocker.app
• Dashboard: www.apilocker.app/dashboard
• API: api.apilocker.app
• Changelog: www.apilocker.app/changelog

License

MIT © 2026 API Locker