ベストプラクティスとガイドライン - Lovi AI Documentation

導入

このガイドでは、セキュリティのベストプラクティス、性能の最適化、および Lovi API で堅牢なアプリケーションを構築するための統合ガイドラインを説明します。

🔒 セキュリティのベストプラクティス

API キーの管理

✅ 行うべきこと：

API キーを環境変数または安全な設定管理に保存する
異なる環境（開発、ステージング、本番）で異なる API キーを使用する
API キーを定期的にローテーションする（推奨：90 日ごと）
API キーの使用状況を監視し、異常なアクティビティの警告を設定する
最小権限の原則を適用する（可能な場合は、異なる機能に個別のキー）

❌ 行うべきでないこと：

API キーをソースコードにハードコードしたり、バージョン管理にコミットしたりする
API キーをメール、チャット、または他の安全でないチャネルで共有する
本番環境の API キーを開発環境で使用する
アプリケーションのログで完全な API キーを記録する

認証セキュリティ

// ✅ 良い - 環境変数に保存
const ACCESS_KEY = process.env.LOVI_ACCESS_KEY;

// ❌ 悪い - ソースコードにハードコード
const ACCESS_KEY = 'your-actual-api-key-here';

リクエストセキュリティ

常に HTTPS を使用：

// ✅ 良い - HTTPS のみ
const BASE_URL = 'https://cloud.lovi.ai';

// ❌ 悪い - 安全でない HTTP
const BASE_URL = 'http://cloud.lovi.ai';

入力データを検証：

function validatePhoneNumber(number) {
  // すべての非数字文字を削除
  const cleaned = number.replace(/\D/g, '');

  // 有効な国際形式であることを確認
  if (!/^\d{10,15}$/.test(cleaned)) {
    throw new Error('無効な電話番号形式');
  }

  return cleaned;
}