MostlyQR

認証

すべてのREST リクエストは、Bearerトークンとして送信されるAPIキーで認証します。 （公開検証エンドポイントは唯一の例外で、キーは不要です。印刷されたシリアル番号が認証情報だからです。）

# APIキー

アプリの設定 → APIキーでキーを作成します。2つの種類があります:

プレフィックス 用途
mtq_live_… 本番環境 — プランのクォータに含まれます。
mtq_test_… テスト用。

キーは作成時に一度だけ表示されます — 安全な場所に保管してください。サーバー側にはSHA-256ハッシュのみが保持されるため、失ったキーは回復できず、無効化と交換のみが可能です。

# キーの送信

すべてのリクエストにAuthorizationヘッダーを追加します:

http
Authorization: Bearer mtq_live_xxxxxxxxxxxxxxxxxxxxxxxx
bash
curl https://mostlyqr.com/api/v1/links \
  -H "Authorization: Bearer mtq_live_…"

キーがない、無効、または無効化されている場合は401が返されます。各キーは固定ウィンドウごとのレート制限があります。超過した場合は429が返されます。エラーを参照してください。

# ベースURL

text
https://mostlyqr.com/api

/api/**へのリクエストは、ホスティングの書き換えによってRESTファンクションにルーティングされます。（生のファンクションURL https://europe-west2-mostly-qr.cloudfunctions.net/restApiも機能します。）

# プランゲート

一部のエンドポイントは有料プランが必要です: REST APIとバッチはPro+、および シリアライズコードはEnterpriseです。プランの権限を超えるリクエストは409（failed-precondition、メッセージに制限あり）— または機能がプランに含まれていない場合は403（permission-denied）が返されます。設定でプランを確認し、エラーの完全な表を参照してください。

# キーの安全性を保つ

  • クライアント側のコードや公開リポジトリにキーを含めないでください。
  • 新しいキーを作成して古いキーを無効化することで交換します。無効化は即座に反映されます。