APIキーとアクセス

プロジェクトのキーを作成する

正しいプロジェクトを選び、APIキー ↗を開きます。そのキーを使う連携やアプリケーションが分かる名前を付けてください。キーは1つのプロジェクトに属し、rlv_で始まり、作成者がそのプロジェクトの有効なメンバーである間だけ使えます。

表示されたタイミングでキーをコピーし、サーバーの環境変数かシークレットマネージャーに保管します。パスワードと同じように扱ってください。有効期限は1〜3,650日か、期限なしを選べます。1つのプロジェクトで有効なキーは50個までです。

スコープを選ぶ

キーは選んだスコープだけを持ちます。アプリでは、チームの残高を使うtools:executeを含むすべてのスコープが最初から選ばれています。連携に不要なものは外してください。

project:read
  キーが属するチームとプロジェクトを読む。

usage:read
  今月のリクエスト数と使用額を読む。

tools:read
  カタログの検索、ツール定義と接続の読み取り、見積もり。

tools:execute
  ツールの実行、実行のキャンセル、ファイルのアップロード、ワークフロー・トリガー・監視・カスタムツール・チームスキルの作成と変更。

executions:read
  実行・結果・成果物・ワークフローの実行・トリガーと監視のイベントを読む。

足りないスコープが必要なリクエストは403 platform_api_key_scope_requiredで失敗し、details.scopeにそのスコープが入ります。連携ごとに別のキーを使うと、利用量を把握しやすく、個別にアクセスを取り消せます。

ツールの利用権限を絞る

プロジェクトのメンバーは、同じリソースを使えます。プロジェクト詳細 ↗の「ツールの実行」で、プロジェクト管理者が組み込み・接続アプリ・カスタムツールのすべて、または選んだツールだけを許可します。管理者本人・APIキー・CLI・MCPにも共通で適用します。すべて許可すると今後の追加分も使え、空の選択では全ツールを拒否します。APIキーには、使える接続・カスタムツール・スキルの追加制限を設定できます。許可範囲外の呼び出しは403で失敗し、details.codeはツールならplatform_tool_access_denied、接続ならplatform_connection_access_deniedです。キーのスコープと接続全体の操作制限も適用されます。

キーを安全に送る

キーはHTTPSでBearerトークンとして送ります。

Authorization: Bearer YOUR_RELVO_API_KEY

キーを公開リポジトリ、ブラウザのバンドル、モバイルアプリ、URL、スクリーンショット、共有ログに含めないでください。APIは他のサイトからのブラウザーのリクエストを拒否します。

MCPクライアントのサインイン

リモートMCPのクライアントにAPIキーは要りません。OAuth 2.0（PKCE付きの認可コード、動的クライアント登録）でサインインし、利用者が承認したプロジェクトとスコープの権限を受け取ります。

サインインは90日間、アクセストークンは1時間有効で、自動で更新されます。

ローテーションと失効

キーを差し替えるときは、連携側を新しい認証情報に更新し、リクエストが成功することを確認します。不要になった古いキーは失効させてください。

キーが漏れた場合は、アプリで失効させ、影響を受けた連携の認証情報を差し替えます。そのキーの利用記録も確認してください。