Gemini API key の制限強化は、雑な PoC 鍵運用を 403 に変える

要点

要点まとめ

Google は、Gemini API の鍵を『とりあえず 1 本作って皆で使う』運用のまま放置するなと強く締め始めている。
2026-06-19 からは unrestricted standard key が拒否対象になり、さらに 2026-09 には standard key 自体が拒否対象になる予定なので、制限だけで終わらず auth key への移行も視野に入る。
Gemini 専用で使う鍵は AI Studio 側で Gemini API only に絞る導線がある一方、他の Google API と共有した鍵をそのまま使い回す設計は壊れやすい。
読者にとっての実務価値は、どの配布済み key がいつ止まりうるかを棚卸しし、雑な PoC 鍵運用を障害化する前に畳める点にある。

読解

何が変わったのか

このページは従来の『key を安全に保管しましょう』という一般論を超えて、unrestricted standard API keys を具体的に締めています。Gemini API 専用なら AI Studio で `Restrict to Gemini API only` を付ける。逆に shared key を Cloud Console の API restrictions で他サービス向けに制限した場合、その key の Gemini API 呼び出しは失敗するため、Gemini 用の別 key を AI Studio で作り直せと案内しています。さらに dormant な unrestricted keys は 2026-05-07 から block を開始しています。

日本の文脈

なぜ重要か

日本の個人開発や社内 PoC では、tutorial をそのまま写して unrestricted key を長く使い続けるケースがかなり多いです。問題は、この運用が『少し危険』ではなく『期限付きで壊れる運用』になったことです。エンジニアは配布済み key の所在を確認し、PM は frontend 直打ちや shared key を前提にした検証フローを止める必要があります。これは単なる security hygiene ではなく、障害予防の migration task です。

技術ポイント

技術的ポイント

`unrestricted key` は利用元や API 範囲を縛っていない API key で、漏えい時の被害範囲が広い。Google は 2026-06-19 以降、Gemini API 継続利用にはこの状態を解消しろとしている。
`AI Studio restriction` は Gemini API only の制限を直接付ける方法で、Gemini 専用用途ならこれが正道として案内されている。
`API restrictions` は Cloud Console 上で key の利用 API を絞る設定だが、この shared key を他 Google APIs 向けに制限すると Gemini API request は失敗すると明記されている。
`application restrictions` は IP や website など利用元を制限する設定で、API 制限とは別軸。backend 用、browser 用、batch 用を同じ key で回す設計はさらに苦しくなる。

用語

英日キーワード

英語	日本語	補足
unrestricted key	無制限APIキー	利用元や対象 API の制限が付いていない key。便利だが期限付きで壊れる運用へ変わりつつある。
API restrictions	API制限	どの Google API に使えるかを絞る設定。shared key を Gemini 用と他用途で兼用しにくくする。
application restrictions	利用元制限	IP、website、app などリクエスト発生元の制限。API 制限とは別軸で扱う必要がある。
dormant key	休眠キー	長期間使われておらず block 対象になりうる key。棚卸しと削除判断の対象になる。
backend proxy	バックエンドプロキシ	client 側へ key を置かず、サーバー経由で API を叩く構成。client-side 埋め込み回避の基本線。
key rotation	キー更新 / ローテーション	漏えい時や運用見直し時に新 key へ切り替える作業。発行だけでなく旧 key 無効化まで含む。

試す

試すなら

2026-06-19 より前に、今使っている Gemini key を全部列挙し、unrestricted かどうか確認する。
Gemini 専用 key は AI Studio で Gemini API only に restrict し、shared key は用途ごとに分離する。
frontend や mobile app に直接 key を埋めている箇所があれば、backend proxy 経由へ移す計画を切る。
休眠 key や漏えい疑い key は、新 key 発行、アプリ更新、旧 key 無効化、利用監査の順で処理する。

注意

注意点

このページは公開日を示していない。ここで確実に確認できる日付は、最終更新 2026-06-10 UTC、dormant key block 開始 2026-05-07、unrestricted key 対応期限 2026-06-19 の3つ。
AI Studio restriction と Cloud Console restriction は役割が違う。混同すると『制限したのに Gemini が動かない』という事故になる。
key を制限しても、client-side に埋め込んだままなら抽出リスクは残る。制限は漏えい耐性を上げるが、埋め込み自体の正当化にはならない。