質問: 現在、TwitterやLast.fmにメッセージを送信するAndroidアプリを開発していますが、アプリには各サイトから取得したAPIキー(トークン)が含まれています。 もしこれらのアプリのソースコードを公開したいと思った場合、APIキーはどのように取り扱うのが一般的なのでしょうか? 特定のソースコードだけ切り離してビルドできない状態で公開するのはおかしいでしょうか? また、こうしたAPIキーを他者に参照された場合、どのようなリスクがありますか? (APKファイルを展開して参照されるリスクに対して、どこまで備える必要があるでしょうか?) もしよろしければ、ご意見等お聞かせいただけないでしょうか。
回答: APIキーをソースコードの中で使うべきではありません。 APIキーは、ユーザを特定し、そのユーザに課金したり、利用回数制限したりする目的で使われます。 そのようなキーを他人に知られた場合、自分で利用していない分の料金を払ったり、回数制限で利用できなくなったりといった不利益を被る可能性があります。