リクエストデータの経路
- アプリケーションは API キーとリクエストを HTTPS エンドポイント
https://rockapi.ai/v1に送信します。呼び出しはサーバー側で行ってください。設定方法は認証を参照してください。 - ゲートウェイはキーとアカウントを検証し、設定済みの制限を適用して上流チャネルを選択します。エンドポイントとチャネルの設定により、モデル名のマッピング、リクエスト形式の変換、パラメーターの上書き、または本文のパススルー転送を行います。
- 上流サービスには、メッセージ、ツールへの入力、送信したメディアまたはその参照など、推論に必要な内容が渡ります。ゲートウェイはレスポンスと使用量を処理し、結果をクライアントに返します。
- 使用量とエラーの記録は課金と問題調査に使われます。非同期メディアタスクでは、入力、状態、事業者からのデータ、結果 URL なども保存する場合があります。タスクの記録はテキストリクエストのログとは異なります。
API キーの保護と失効
アプリケーションと環境ごとに別の API キーを作成してください。キーの編集画面に該当する項目がある場合は、有効期限、有限の利用枠、許可するモデル、IP 許可リストを設定します。実装では、モデルへの転送前にキーの状態、有効期限、残り利用枠、設定済みの IP 制限を確認し、モデル制限でルーティングを制約します。IP 許可リストは、アプリケーションが実際に使用する送信元 IP から検証してください。 キーはサーバー側のシークレット管理サービス、または保護された実行時設定に保存します。ブラウザーに配信するファイル、モバイルアプリ、リポジトリ、URL、スクリーンショット、共有するリクエスト記録に含めないでください。URL のクエリパラメーターより、文書化された認証ヘッダーを優先してください。 キーの一覧・詳細レスポンスでは値をマスクし、別の認証済み操作で完全な値を取得できます。マスクは表示上の制御であり、不可逆ハッシュや保存時暗号化の証明にはなりません。 通常のローテーションでは、新しいキーを作成し、アプリケーションを更新して呼び出しを確認した後、古いキーを無効化または削除します。漏えい時は、先に対象キーを無効化または削除してから交換し、使用量ログに不審な呼び出しがないか調べてください。古いキーでのアクセスが拒否されることを確認し、まだ使える場合はサポートに連絡します。キーの失効で過去の記録は削除されません。ログに含まれ得る情報
消費ログと使用量の集計は設定で変更できます。利用者向けのログ表示では一部の管理情報を除くため、画面に表示される項目が保存項目のすべてではありません。特定のログや IP 設定を無効にしても、アクセス、セキュリティ、タスク、インフラの全記録が停止するわけではありません。消費額の照合は料金と請求を参照してください。
送信する情報を最小限にする
タスクに必要な会話、文書の抜粋、ツール結果、メディアだけを送信してください。パスワード、アクセストークン、決済情報、無関係な個人情報は取り除きます。顧客名などは内部の仮名に置き換え、対応表は自分のシステムで管理してください。プロンプト本文に加え、ファイル名、メディアのメタデータ、カスタムヘッダー、署名付き URL も確認します。新しい連携の検証には架空のテストデータを使ってください。 サポートには、まずリクエスト ID またはタスク ID、タイムゾーン付き時刻、モデル ID、エンドポイントのパス、HTTP 状態、キーの名称を伝えます。必要に応じて機密情報を除いた短いエラーや最小の再現例を追加してください。完全な API キー、認証ヘッダー、私的な会話、伏せ字処理していないメディアの署名付き URL は送らないでください。保存期間、学習利用、コンプライアンス
実装から確認できるのは処理と記録の機能です。Rock API とすべての上流サービスについて、ゼロ保持、学習不使用、一定期間での削除を一律に保証する根拠にはなりません。機密データを使用する前に、メインサイトの About ページにある窓口からサポートへ次の点を確認してください。- 保存とアクセス： リクエスト本文、出力、タスクファイル、使用量ログ、アクセスログ、バックアップのうち何を保存するか。保存期間、アクセス権を持つ担当者、例外は何か。
- 学習とその他の利用： Rock API または実際の上流事業者が、入力・出力をモデル学習、評価、不正利用の審査、その他の目的に使用するか。自分のアカウントと経路に適用される除外条件やオプトアウトはあるか。
- 上流事業者と地域： 再試行や代替経路を含め、選択したモデルをどの事業者・地域で処理するか。自分の用途で処理地域を強制的に制限できるか。
- 契約上の証明： データ処理契約（DPA）は提供されるか。データ移転の保護措置、セキュリティ認証、監査報告が、契約対象サービスのどの範囲をカバーするか。