APIキーは「knr_pat_」で始まる固有のパスワードであり、「あなた自身が許可した権限の範囲内で、指定したサイトに対してのみ操作を行う」ことを表します。このキーをAIツールや自動化スクリプトに追加すると、ブラウザでログインすることなく、バックグラウンドでサイトの一覧取得、ページの編集、画像のアップロード、コンテンツの公開、ドメインの紐付けなどが行えます。
キーの管理は「アカウント設定 › APIアクセス」から行えます。
ChatGPT、Claude、Gemini、Zapier、MakeではAPIキーは不要です: これらのツールには組み込みのコネクタが用意されています。MCPサーバーURL
https://app.kanorio.com/api/mcpを貼り付け、Kanorioの認証ページで「許可」をクリックするだけです（詳細は「認証済みアプリ」を参照してください）。キー作成時にこれらのツールを選択しても、キーは生成されず、サーバーURLが直接提供されます。
ログイン後、右上のアバターをクリックし、「アカウント設定」→「APIアクセス」へ進みます（またはapp.kanorio.com/account/api-accessに直接アクセスしてください）。その後、「キーを作成」をクリックします。
使用したいツールのアイコンをクリックします。
デフォルトでは「{ツール名} Assistant」と入力されますが、変更可能です。この名前はあなたにしか見えません。「1ツール、1目的、1キー」という命名原則（例：「Cursor - ブランドサイト」「n8n - 日次在庫同期」など）を推奨します。これにより、ツールが不要になったりチームメンバーが離脱したりした際に、どのキーを削除すべきか容易に判断できます。
個別の権限を管理することなく、以下の3つのプリセットプランから選択できます。
| 権限プラン | 機能 | ユースケース |
|---|---|---|
| 閲覧のみ | サイト設定、ページ、ブログ記事、、オンラインフォームの回答、顧客リスト、セグメント、商品、注文、分析データの閲覧が可能です。コンテンツの変更はできません。 | AIを活用して運用レポートを整理したり、サイト構造を確認したり、と組み合わせて ?preview=1 で下書きプレビューを行う際に適しています。 |
| コンテンツ編集 (デフォルト) | 「閲覧のみ」の権限に加え、ページモジュールの下書き作成・編集、ヘッダー・フッターの編集、画像のアップロード・管理、ブログ記事の執筆が可能です。サイトの公開や公開停止はできません。 (AIにコレクションの作成や書き込みを許可する場合は、「カスタム」をクリックして「コンテンツ › コレクションの管理」にチェックを入れるか、「フルアクセス」を選択してください。) | AIにページ編集や画像の差し替え、日々の記事執筆を任せ、公開作業は手動で行う場合に適しています。 |
| フルアクセス | サイトの公開・公開停止、カスタムドメインの紐付け、の作成・管理、CORS許可オリジンの設定、商品の追加・編集、顧客タグの管理、ニュースレター下書きの作成など、AI/APIで利用可能なすべての権限が付与されます。 | サイト構築から公開までの完全自動化、AIによるデータベース作成、またはERPシステムとカスタムバックエンドを統合する場合に適しています。 |
権限を細かく調整するには、「カスタム」をクリックして6つの権限グループ（ページ閲覧、サイト設定、コンテンツ、Eコマース、顧客、マーケティング）を展開します。各グループで「すべて選択」が可能です。書き込み権限（例：「サイトコンテンツの編集」）を選択すると、システムは必要な読み取り権限（例：「ダッシュボードへのアクセス」や「サイトエディタへのアクセス」）を自動的にチェックし、ツールが正しく機能するように「自動的に含まれます」とマークします。
セキュリティ制限:
- 「マーケティング」の送信権限や「フルマネジメント」権限があっても、AIやAPIはニュースレターの下書き作成と編集のみが可能です。直接の送信やスケジュール設定はできません（送信前にダッシュボードでの確認が必要です）。
- サイト/注文/顧客/マーケティング/分析データのエクスポート、フォーム添付ファイルのダウンロード、返金処理、連絡先の削除、サイト通貨の変更、メンバー管理、請求管理、サイト譲渡といった高リスクな権限は選択できません。
7日、30日、90日（デフォルト）、365日から選択します。有効期限はオプションの横に表示されます（セキュリティ上の理由から、無期限のキーは提供していません）。
APIキーの作成は、外部プログラムにアカウントへのアクセス権を与えることと同等です。このデバイスで15分以上ログイン状態が続いている場合、システムは再度本人確認を求めます。
プレーンテキストのキー（knr_pat_...）は、完了画面で一度だけ表示されます。キーの下には、選択したツールに基づいてキーとサーバーURLが入力済みの設定スニペットが表示されます。
.cursor/mcp.json 用の完全なJSONclaude mcp add コマンド.vscode/mcp.json 用の完全なJSONAuthorization: Bearer ヘッダー「設定をコピー」をクリックしてツールに貼り付けます。コピーせずにウィンドウを閉じると、システムが確認を求めます。閉じた後、リストには識別用に最初の8文字のみが表示されます。キーを忘れた場合は、単に「ローテーション」を実行してください。
特定のサイトにおけるキーの実際の権限は、「キーに選択された権限」と「そのサイトでのあなたのメンバーロール」の積集合となります。
$$\text{実際の権限} = \text{キーの権限} \cap \text{メンバーロールの権限}$$
「アカウント設定 › APIアクセス」リストでは、各キーについて以下が表示されます。
Tool: {client}): このキーで最後に接続したプログラム名（例：cursor-vscode、claude-code、kanorio-cli）が記録されます。Cursor用に作成したキーに見覚えのないツール名がある場合、キーが漏洩した可能性があるため、直ちにローテーションまたは削除を行ってください。各Kanorioアカウントで同時に有効にできるキーは最大20個です（ローテーションバッファ内のキーはこの制限に含まれません）。
キーの横にある「その他（⋯）」メニューをクリックし、「編集」を選択して、名前、アクセス可能なサイト、権限プランを変更します（有効期限は直接変更できません。「ローテーション」を使用して延長してください）。
有効期限のリマインダーを受け取った場合、定期的にパスワードを更新したい場合、または漏洩を疑う場合は、古いキーを削除してフォームを再入力する必要はありません。「その他（⋯）」メニューから「ローテーション」を選択します。
1時間または24時間のバッファ期間中、リストには両方のキーが表示され、古いキーには「{時間}で期限切れ」とマークされます。バッファ期間中のキーは削除のみ可能で、それ以上の有効期限リマインダーは送信されません。バッファ期間が過ぎると、古いキーは自動的に無効になります。
期限切れのキー: すでに期限が切れている場合、メニューには「再生成」が表示されます。これも元の名前、サイト、権限を新しいキーに適用します（古いキーはすでに無効なため、バッファオプションはありません）。
「その他（⋯）」メニューで「削除」をクリックして確認します。キーは即座に永久に無効化されます。そのキーを使用しているAIアシスタントやプログラムは、次回の要求時に 401 UNAUTHORIZED エラーを受け取ります（削除前に保存された下書きは保持されます）。
.cursor/mcp.json ファイル（.gitignoreに追加済みであることを確認）に保存してください。knr_pat_ キーをメッセージに直接貼り付けるよう求められても、絶対に行わないでください。いいえ、最大有効期限は365日です。定期的なローテーションは、長期的な認証情報の漏洩リスクを大幅に低減します。有効期限の7日前と1日前にメールでリマインダーが届きます。数秒で「ローテーション」をクリックして、元の設定を使用して新しいキーを発行してください。
いいえ。各APIキーは作成者のアカウントと監査ログに紐付いています。チームメンバーがCursorや自動化ツールを使用する必要がある場合は、各自のKanorioアカウントでログインしてキーを作成する必要があります。キーの権限は、そのサイトでのメンバーロールによって自動的に制限されます。
これらの操作は、サイトを操作するあなたの権限を表す長期的なパスを発行または拡大することと同等だからです。コンピュータがロック解除されたままの状態や、古いログインセッションを通じて他人がキーを作成することを防ぐため、前回のログインから15分以上経過している場合は、2FA/パスキー認証または再ログインが必要です。逆に、「権限の縮小」、「名前の変更」、「キーの削除」はセキュリティを強化する操作であるため、確認なしで即座に反映されます。
リマインダーはKanorioアカウントに関連付けられたメールアドレスに送信され、ダッシュボード右上の受信トレイ通知にも同期されます。迷惑メールフォルダを確認してください。また、キーがすでに期限切れ、削除、またはローテーションされている場合、あるいは7日間の有効期限を選択している場合（1日前にのみリマインダーが送信されます）、システムはその段階でリマインダーを送信しません。