API: 認証と規約

原則

• 機関級またはサービス級の資格情報 を使う。個人ログイン Cookie でバッチしない。
• シークレットはサーバの環境変数または鍵庫のみ。フロントや公開リポジトリに書かない。
• 最小権限：読み取り同期と書き込み同期の資格情報を分ける方がよい。
• ローテーション後、旧シークレットは速やかに無効化する。

よくある失敗

詳細は現行環境の認証方式準拠。