Steam Manifest APIキーとは？安全に使うための確認ポイント

「Steam Manifest APIキー」が通常意味するもの

Valveの標準ファイルとしてSteam Manifest APIキーが存在するわけではありません。この言葉は、manifestの検索やSteam関連アプリケーションのリクエストで使われる認証情報を指す検索ラベルとして使われがちです。重要なのは、どのサービスが発行し、どのendpointが受け付けるかです。

Steam Web APIキーはSteam Community Web APIの仕組みに属します。depot manifestやSteamのログイン情報とは別物です。コミュニティのmanifestサービスは、リクエスト数やアクセス制御のために独自のキーを使う場合があります。サイトのアカウントキーはそのサイトのAPIだけで使うものです。

表は分類のための目安であり、第三者サービスの利用を許可するものではありません。endpoint、権限、期限、無効化方法を説明できない発行元なら、ダウンローダーや拡張機能にキーを貼り付けないでください。

APIキーとAppID・ManifestID・Luaの違い

Steamのファイル検索では、複数の技術用語が近くに表示されるため混同しやすくなります。AppIDはSteamアプリを識別します。DepotIDはdepotを識別します。ManifestIDは、サービスが提供する場合にdepotの特定スナップショットを識別します。Luaファイルは特定ツールのスクリプトやマッピングです。どれもAPIキーではありません。

APIキーはサービスへのリクエストを認証します。メタデータや公開可否を問い合わせられる場合はあっても、AppIDをライセンスに変えたり、古いmanifestを最新にしたりはしません。同じAppIDでもサービスごとに違うキーを使うことがあります。

ツールがAppIDとキーを両方求める場合、役割を分けて考えます。AppIDは検索対象、キーはサービスの秘密情報です。ManifestIDをキー欄に貼ったり、ZIPファイルをAPIレスポンスだと考えたりしないでください。

Steam Manifest APIキーを安全に確認する方法

キーを送る前に確認を終わらせます。信頼できるサービスなら、endpointの運営者、キーの権限、有効期間、無効化の方法を説明しています。「key generator」という実行ファイルだけを配布するページ、知らないプログラムの実行を求めるページ、リダイレクトで宛先を隠すページは、情報が不足しています。

サービスが対応しているなら、読み取り専用の小さなテストを使います。実際のキーをスクリーンショット、公開issue、同期履歴、共有コマンド、ログに残るURLへ入れないでください。ドキュメントがheaderを指定しているなら、その方式に従います。

1. 発行元を確認する

   ValveのキーならSteam CommunityまたはSteamworksの公式ドキュメントから始めます。コミュニティキーなら管理者の文書を読み、リポジトリやサービス名を記録します。

2. 権限を読む

   API、endpoint、制限、取得できるデータを確認します。メタデータ用のキーを保護コンテンツのダウンロード方法として説明することはできません。

3. 通信方法を確認する

   HTTPSと文書化されたheaderまたはクライアント設定を使います。URL、チャット、公開クライアントコードに秘密を置かないでください。

4. 期限と無効化を確認する

   期限切れ、無効化、アカウントとの結び付きを確認します。復旧や無効化の方法がないキーは通常の認証情報として扱いません。

5. 最小のリクエストを試す

   低リスクの読み取りリクエストを一度だけ行います。別ドメインへの転送、未知の実行ファイル、必要以上の権限を求められたら中止します。

キーが使えないときの確認順

リクエストが失敗しても、すぐにキーが間違いだとは限りません。endpointの変更、期限切れ、アカウントの無効化、レート制限、サービス停止が考えられます。新しいキーを作る前に、ステータスとドキュメントを確認します。

401や403をランダムなgeneratorのダウンロードで解決しないでください。記録するのはhost、ステータスコード、時刻、キーを隠したエラーメッセージだけにします。Authorization headerやキー全体を公開しないでください。

アカウントを守る境界線

Steam Web APIキー、コミュニティサービスのキー、サイトのアカウントキーは別々のセキュリティ領域です。同じ秘密を使い回すと、漏えい時の被害範囲が広がり、どのサービスが問題だったかも分かりにくくなります。

manifest用APIキーはSteamへのログインの代わりではなく、ゲーム所有権を証明せず、アカウントが受け取れないダウンロードを許可しません。Luaファイルやmanifestのスナップショットもセキュリティトークンではありません。

このサイトでは、公開ツールでAppIDやパッケージ情報を確認できます。ただし、サービス、release、リポジトリ、キーを信頼する前に、ページの外にある第一者情報を確認してください。未知の実行ファイルやSteamパスワードを要求するダウンロードは中止します。

• 公開issue、スクリーンショット、配信、共有コマンドにキーを貼らない。
• 公開JavaScript、リポジトリ、HTMLにキーを保存しない。
• 未知のinstallerを要求するkey generatorを使わない。
• 平文HTTPや信頼できないリダイレクト経由でendpointを呼ばない。
• 第一者の証拠がないコミュニティキーやパッケージをValve公式と呼ばない。
• キーが漏れたら無効化またはローテーションし、使い回していた場合はsessionも確認する。

Steam Manifest APIキーのよくある質問