APIキーのアクセスモード — 読み取り専用と従業員への限定アクセス

Alaio VibecodeのAPIキーにアクセスモードが追加されました。各キーは「読み取り専用」モードで動作できるようになり、書き込みリクエストはBitrix24に届く前にプラットフォーム側でブロックされます。これは、最小権限のAIエージェント、外部のインテグレーター、データへのアクセスは必要だが変更はさせたくない従業員向けのシナリオに便利です。

2つのモードがあります。READWRITEは従来どおりのフルアクセスで、キーが読み書き両方を行います。READONLYでは読み取りは通常どおり動作し、書き込みを試みると、どのBitrix24呼び出しがブロックされたかを示すわかりやすい403エラーが返されます。キーの作成・編集カードに「アクセスモード」の切り替えが追加され、現在のモードは/v1/meのレスポンスでも確認できるようになりました。アプリケーションやAIエージェントは自分がどの権限で動作しているかをすぐに把握でき、無駄なリクエストを送らずに済みます。

Bitrix24アカウント管理者向け。キー管理ページには「Bitrix24アカウントポリシー」カードがあり、読み取り専用をオンにすると、そのBitrix24アカウントで新規発行されるキーはすべてこのモードになります。このポリシーが有効な場合でも、管理者は個々の従業員のキーを切り替えることで例外を設定できます。キーの所有者にはCompanionボットから、誰がいつモードを変更したかの通知が届きます。すべての変更は監査ログに記録され、誰が切り替えたか(所有者か管理者か)と、どのキーが対象かがわかります。

なぜ必要なのか。読み取り専用キーは本質的に安全です。MCP経由で接続されたClaudeやGPTベースのAIエージェントは、モデルが「ハルシネーション」を起こしても、書き込みが通らないため物理的にデータを壊すことができません。このようなキーが漏洩しても、悪意ある第三者の手元では読み取りしかできません。既存のキーには一切手を加えておらず、すべて読み書きモードのままで、既存の連携の動作は変わりません。

キーと認証のドキュメント: https://vibecode.bitrix24.com/docs/keys-auth