2026年に入ってから、Google CloudやGoogle AI StudioからAPIキーの取り扱いに関する注意喚起のメールが複数回配信されています。
メールの記載内容を見ると、特にGemini APIについては、 「2026年6月19日以降、制限されていないAPIキーによるリクエストを受け付けなくなる」 という重要な仕様変更が控えています。
今回は、そんな注意喚起の背景にある「APIキーの落とし穴」と、自分のプロジェクトが安全かどうかをチェックする方法についてまとめました。
※この記事は2026年5月時点の公式アナウンスに基づいた情報です。
どんなメールが届いている？
筆者の環境には、ここ数カ月で以下のようなメールが届いています。「見覚えがあるけど、まだ対応していない」という方は、ぜひこの記事を参考にチェックしてみてください。
-
2026年2月〜3月頃（Google Cloudより）
件名：[Action Advised] Review Google Cloud credential security best practices
内容：認証情報のベストプラクティスを見直すよう促す全般的な注意喚起。 -
2026年5月頃（Google AI Studioより）
件名：[Action Required] Secure your Gemini API access by June 19, 2026
内容：プロジェクト内に「制限のないAPIキー」がある場合に届く警告。2026年6月19日以降、Gemini APIは制限のないAPIキーを使用するリクエストを受け付けなくなる旨の通知と、この仕様変更に関するアクションを求めています。
なぜ今、注意喚起されているのか？
最大の問題は、ユーザーが意識していないうちにGemini APIを利用できるAPIキーが公開状態になり、第三者によって勝手に利用されることで、思わぬ請求が発生してしまうリスクにあります。
しかし、Gemini APIに限らずともAPIキーの漏洩（GitHubのパブリックリポジトリに誤って公開してしまうなど）によるリスクは以前から存在しており、ユーザーは対策をしたうえでAPIキーを使うことが前提となっていました。
ですが、特に生成AIの盛り上がりにより、APIキーの仕様を十分に理解しないままGemini APIを使い始めてしまうケースが増えていることや、それら流出したAPIキーを狙った不正利用が活発化していることが背景にあると考えられます。
⚠️ 注意すべきパターン
-
もともとGoogle Mapsなどの用途で「制限なし」のAPIキーを作成し、クライアントアプリ等に組み込んでいた（この時点では大きな問題ではないケースも多い）。
-
同じプロジェクトで「Gemini API」を有効化した。
-
既存の公開されている「制限なしAPIキー」を使って、誰でもGemini APIが呼び出せる状態になってしまう。
この場合、サービスを有効化しただけで、誰でもGemini APIが使えるAPIキーがインターネット上に公開されてしまいます。
ユーザーはAPIキーを新しく公開したつもりはなく、警告も無いため気づかないケースが多いと思われます。
APIキーの基本：機密情報としての扱い
APIキーというのはGoogle系のAPIを使うための認証方式の一つです。
キーと名前がついているため秘匿すべき情報に思えますが、APIキーは用途によって扱いが異なります。
-
FirebaseやGoogle Maps: プロジェクトの識別用であり、公式ドキュメントでも 「シークレットではない（公開前提）」 とされています。
-
Gemini APIやCloud Translateなど: 「アクセス許可（リソース利用許可）」のために使われます。これらは秘匿すべき機密情報です。
Google公式：Firebase セキュリティ チェックリスト
Google Cloud公式：APIキーを安全に使用するためのベストプラクティス
Google CloudにおけるAPIキーの扱い
Google Cloudは、原則としてIAM（誰が、何をしていいか）で権限を管理しており、Gemini APIを利用するにもIAMロール（Agent Platformユーザー等）が必要です。
ですので、誰がの情報を持たないAPIキーでは本来Gemini APIを利用することはできません。
APIキーは、検証段階でGemini APIをとにかくすぐに試したい人向けの「エキスプレスモード」としての一時的な用途や、IAMロールの不要な一部のAPIでの利用を想定されています。
本番環境では、APIキーではなく適切なIAMロールを付与したサービスアカウントやユーザーアカウントで認証を行うのがベストプラクティスです。
参考：Cloud Express モードのよくある質問
今すぐできるチェックと対策
「自分のプロジェクトに制限のない危ないキーがないか不安」という方は、以下の手順でチェックと対策を行いましょう。
1. 制限なしのAPIキーをリストアップする
Google Cloud の Cloud Asset Inventory を利用すると、プロジェクト内の「制限のないAPIキー」を一覧表示できます。
Google Cloud公式：制限のないAPIキーのリストアップ
コンソールや gcloud コマンドを使って、まずは「API制限」や「アプリケーション制限」が掛かっていないキーが存在しないか確認しましょう。
2. 「API制限」を徹底する
APIキーの設定画面から、そのキーで呼び出せるAPIを必要最小限に絞り込みましょう。これにより、万が一キーが漏洩しても、他の高額なAPIを勝手に使われるリスクを最小限に抑えられます。
3. 予算アラートの設定
不正利用にいち早く気づくことができるのはもちろんですが、そもそもGoogle Cloudをはじめとするパブリッククラウドは従量課金のサービスが多く、日ごろからのコスト監視が重要です。
想定外の課金が発生した際にメールが届くよう、必ず設定しておきましょう。
Google Cloud公式：予算と予算アラートの作成
4. 「重要な連絡先」の確認
GoogleはGitHubなどのパブリックリポジトリを監視しており、APIキーの漏洩を検知するとアラートを送ってくれます。
実際に送信されるアラートメールの例（件名: Publicly accessible Google API key）
このメールを確実に受け取れるよう、Google Cloudコンソールの「重要な連絡先」が正しく設定されているか確認しておきましょう。
Google Cloud公式：連絡先の管理
もし不正利用されてしまったら？
気づいた瞬間に、該当のAPIキーを削除、または直ちに制限をかけてください。
Google Cloudの利用規約では、APIキーの管理は顧客の責任とされています（第1.3条、3.1条）。そのため、漏洩による課金に対して返金を求めることは原則として難しいのが現実です。
「Googleアカウントの乗っ取り」とは異なり、APIキーの使用履歴からそれが第三者のものか本人によるものかをGoogle側で判別することも困難と思われます。
事後の交渉を期待するのではなく、事前の設定を徹底しましょう。
※利用規約は変更される可能性がありますので、常に最新の情報を確認してください。
まとめ
制限なしのAPIキーを公開しているプロジェクトでGemini APIが有効になっている場合、第三者にGemini APIを不正に利用される可能性があります。
Google Cloudは注意喚起のメールを配信したり、2026年6月には制限なしのAPIキーによるGemini APIへのリクエストが停止されるなど対策が講じられていますが、いち早く手を打つのがベストです。
既存のAPIキーが思わぬ穴になっているかもしれません。今すぐCloud Asset Inventoryでチェックし、すべてのAPIキーに適切な制限をかけることを強く推奨します。
執筆者紹介
