API連携においてOAuth認証を使用することは可能か

「楽楽販売」のAPI連携機能においてOAuth認証を使用することはできません

現在の「楽楽販売」の仕様では、外部システムから「楽楽販売」へリクエストを行う際の認証方式として、OAuth認証（アクセストークンの認可フローなど）を利用する機能はありません。

「楽楽販売」のAPI連携における認証は、ユーザーごとに発行される固定の「APIトークン」をリクエストヘッダに含める方式のみに対応しています。そのため、外部システムとの連携を構築する際は、OAuth認証ではなくAPIトークン認証を利用していただく必要があります。

※なお、システム設定の「送信メールサーバ設定」においては、GoogleやMicrosoft Exchange Onlineとの連携のためにOAuth認証が利用できますが、これはメール送信機能に限定された仕様であり、データベースのデータを操作するAPI連携とは仕組みが異なりますのでご注意ください。

API連携を安全に構築するための代替案

OAuth認証には対応していませんが、APIトークンの利用とアクセス制限を組み合わせることで、セキュリティを確保したデータ連携が可能です。

ユーザー管理画面より「APIトークン」を発行して認証を行う

OAuth認証の代わりに、特定のユーザーに紐づく「APIトークン」を発行し、それを認証キーとして使用します。APIトークンはユーザーごとに一意の文字列として生成され、リクエストヘッダ（X-HD-apitoken）に設定することで認証が行われます。万が一トークンが漏洩した疑いがある場合は、ユーザー管理画面から即座に再生成して古いトークンを無効化できます。

API連携専用の「IPアクセス制限」を設定して接続元を限定する

APIトークンによる認証に加え、接続元のグローバルIPアドレスを制限することでセキュリティを強化できます。許可された外部システムのサーバーIP以外からのリクエストをシステム側で拒否するよう設定してください。この設定は、API連携オプションを利用するための必須条件です。

【設定箇所】管理者設定＞セキュリティ設定＞ IPアクセス制限に関する設定＞ APIのアクセス制限

API連携設定時の注意点とマニュアル

API連携を構築する際は、トークンの発行手順やリクエストの上限値について、下記記事をご確認ください。

APIトークンの発行方法に関するマニュアル

ユーザーごとにAPI連携用のキーを生成し、有効化するための具体的な操作手順が記載されています。
API連携オプション：APIトークンの発行方法

API連携オプションの仕様と制限に関するマニュアル

API連携を利用する際のリクエスト上限（1分間あたりの回数）や、プランごとの仕様の違いについて詳しく解説しています。
API連携オプション：設定方法

お問い合わせフォームよりご要望をお寄せください。

「楽楽販売」はお客様から頂戴したご意見・ご要望をもとに、
よりよく、寄り添う販売管理クラウドを目指してまいります。

現在の仕様ではご希望の機能に対応しておりませんが、
お客様からの貴重なご意見として真摯に受け止め、今後の改善に役立ててまいります。

（記事ID：2708）