WordPressへの移行更新日
#なぜ移行より先にキーを差し替えるのですか？
WordPressやmicroCMSへの移行が決まっているのに、なぜわざわざ古いサイト側でキーを差し替える必要があるのでしょうか。Studioに登録したmicroCMSやNotionなどのAPIキーは、それぞれの発行元のサービスが管理しています。Studio側ではこれらのキーを無効にできません。新しいキーに切り替えて古いキーを失効させる作業は、利用者が自分で行います。
APIキーの交換は、新しいキーを作り、使っている側の設定を書き換え、最後に古いキーを削除する流れです（APIキーの安全な管理方法）。新しいキーを入れただけでは、古いキーは使える状態のまま残ります。古いほうを使えなくするところまで終えて、ようやく差し替えが完了します。
また、通知連携に使われるWebhookのURLにも注意が欠かせません。SlackのIncoming Webhookなどに代表されるように、通知先のURLそのものに認証用の秘密情報が含まれているケースがあります。このURLが漏洩してしまうと、第三者が勝手に通知チャンネルへメッセージを送れるようになってしまいます。
移行作業が始まると、新しいCMSの設定やデザインの作り直しで手がいっぱいになりがちです。そのうちに古いキーやURLの存在を忘れてしまうこともあります。Studioのサイトがまだ動いているうちに差し替えれば、通知や表示が正しく動くのをその場で確かめられますね。
#APIキーとWebhookはどの順番で差し替えますか？
たとえば、サイトからのお問い合わせをSlackに通知している場合、順番を間違えて古いWebhook URLを先に無効化してしまうと、その瞬間に通知が一切届かなくなります。
まずmicroCMSで新しいAPIキーを発行し、Studioの接続設定にそのキーを入れます。ページがいつもどおり表示されるのを確かめてから、microCMSで古いキーを失効させましょう。
Webhookも、新しいほうを先に用意します。通知先のサービスで新しいURLを発行し、Studioの設定を書き換えて有効にします。そのあと［テスト送信］を押して、通知が届くのを見てください。受信を確認できたら、通知先で古いURLを無効にします（StudioのWebhook設定）。
順番を逆にすると、古いキーを止めた時点でサイトの連携が止まることがあります。APIキーとWebhookのどちらから手をつけるかに決まりはありません。どちらも「新しいものを入れる、試す、古いものを止める」の順を守れば大丈夫です。
もうひとつ気をつけたいのが、microCMSで作れるキーの数です。作成できる数はプランごとに違い、Hobbyで1個、Teamで3個、Businessで10個、Enterpriseで20個です（microCMSのAPIキー仕様）。作成上限が1個のプランを利用しているときは、古いキーを削除してから新しいキーを発行してStudio側を再設定する形になるため、サイト表示に一時的な影響が出ない時間帯を選んで作業を進めましょう。キーを作ったり消したりできるのは、管理者権限を持つユーザーだけです。
#スプレッドシート連携やカスタムプロキシはどうしますか？
フォームの回答をスプレッドシートに送っていたけれど、自分で何かを発行した覚えはない、という人もいるでしょう。Googleスプレッドシート連携では、接続に使う鍵をStudioが2026年10月14日に更新しました（Studioの不正アクセス対応の案内）。流出したおそれのある認証情報は、すでに使えない状態です。そのうえで、念のための対応として連携のやり直しが求められています。
やり直しは、Studioで連携を解除し、GoogleアカウントからStudioのアクセス権を削除する手順です。Google側で権限を削除すると、そのアカウントを使って連携していたすべてのプロジェクトでシートへの書き込みが停止します。もし移行までの期間もStudioで回答を受け取り続けたい場合は、再度連携を行ってください。再連携すると新しいシートができ、それより前の回答は自動では入りません。続けたいプロジェクトごとに、つなぎ直してください。あわせて、2026年9月30日から10月14日までの変更履歴に、回答の追加以外の怪しい編集がないかも見ておきます。閲覧されただけの場合は履歴に残りません。
一方、自社のホスティング環境からリクエストを中継しているカスタムプロキシ機能を使っている場合は、対応方法が異なります。自社サーバー側のプロキシキーをStudioから発行された新キーに更新し、正常にページが表示されることを確認したあと、対象のStudioサブドメインを添えて旧キーの無効化を依頼しなければなりません。無効化を依頼するまでの間は古いキーも使えてしまうため、2026年10月16日送信のメール受信から30日以内という期限に遅れないよう手続きを済ませてください。設定の差し替えを済ませていても連絡は必要なので、出し忘れには気をつけたいですね。
#移行先でStudioのキーを使い回してもいいですか？
WordPressやmicroCMSで新しいサイトを構築する際、これまでStudioで使っていたAPIキーやreCAPTCHAのキーをそのまま流用しても問題ないのでしょうか。まずは、そのキーをどこが発行したのかを見てください。たとえば、StudioのreCAPTCHA連携に登録するサイトキーとシークレットキーは、Google側で取得したものです。GoogleのreCAPTCHAに関しては、管理画面でドメインを追加登録すれば複数の環境で同一のキーを使い回す仕組み自体は存在します。しかし、移行元と移行先でキーを共有していると、どちらかのサイトでキーが露出した際に影響範囲を切り離せなくなります。
microCMSのキーは事情が違いますよ。書き込みの権限を付けたAPIキーが外に漏れると、コンテンツを勝手に書き換えられるおそれがあります。ブラウザーから直接APIを呼ぶ作りだと、キーは訪問者にも見えてしまいます。その場合は権限をGETだけに絞るか、サーバー側から呼び出してキーを隠してください。管理画面のAPIキー一覧で「追加」を押すと、新しいキーを作って権限を設定できます。移行先用に別のキーを用意すれば、どのサイトがどのキーを使っているのかがはっきりしますね。
キーを入れ直したら、Studioではライブプレビューと公開サイトの両方でフォームを送ってみましょう。
こんな聞き方も
- WordPressへ移る前に、StudioのAPIキーやWebhookの差し替えは済ませるべきですか？
- microCMSへ移る前に、StudioのAPIキーやWebhookの差し替えは必要ですか？
- studio apiキー 差し替え 移行前
- studio webhook 再発行
- studio カスタムプロキシ キー 差し替え 期限
- studio スプレッドシート連携 解除
あわせて知りたい（関連する疑問）
QStudioを解約すればキーの差し替えは不要ですか？
Studioの契約を解除しても、登録していた外部サービスのキー差し替えや失効作業が不要になるわけではありません。
なぜなら、Studioを有料プランから解約する手続きはFreeプランへのダウングレード申請にあたり、即時にアカウントやデータが消滅するわけではないからです。ダウングレードの手続きを行ってもすぐには切り替わらず、次の契約更新日にFreeプランへと移行する仕様になっています。Studioのプラン変更ヘルプでも示されている通り、解約を申し込んだあとも契約終了日までは有料プランの機能やプロジェクトの設定がそのまま有効に残り続けます。解約したから大丈夫だと放置していると、残存しているプロジェクトや設定データに紐づいた認証情報がそのまま稼働し続ける危険がありますね。
さらに肝心なのは、外部サービス側で発行したAPIキーは、Studioのアカウントを閉じても自動的には失効しないという点です。microCMSやNotionなどのAPIキーは、それぞれのサービス管理画面で発行元の管理者が削除ボタンを押さない限り、インターネット上で有効な鍵として存在し続けます。
今のData Connect APIでは、認証情報はStudio側のProxyから送られます。公開サイトのソースコードにキーがそのまま表示されることはありません。だからといって、目に見えないキーを放っておいてよいわけではありません。APIキーは定期的に作り直し、新しいキーに切り替えたら古いキーを削除するのが基本の運用です。
解約の手続きより先に、各発行元の管理画面で古いキーを削除するところまで済ませます。
QmicroCMSとStudioを連携していた場合は？
ヘッドレスCMSであるmicroCMSとStudioを組み合わせて記事やお知らせを配信していた場合、具体的にどのような手順で作業を進めればよいのでしょうか。Data Connect APIは、microCMSのコンテンツを取得して動的ページやリストに表示する機能です（StudioとmicroCMSの連携設定）。Studioに登録されているのはmicroCMSが発行したAPIキーなので、作業はmicroCMSとStudioの両方で行います。
この連携を安全に更新するには、まずmicroCMS側で管理者権限を持つユーザーが新しいAPIキーを作成します。続いてStudioのデザインエディタを開き、API接続パネルの「認証」項目にある古いキーを新しいキーへと書き換えてください。HTTPメソッドをGETに指定して通信が正常に通ることを確かめ、設定を保存します。Studioではエンドポイントの設定を保存すると、その変更内容は即座に公開サイトへ反映されます。新しいキーで通信できる状態を作ってから、microCMS側で古いキーを削除するのが基本の進め方です。
今は使っていない外部サービスのキーも、それぞれのサービスで失効させるよう案内されています。作れるキーの数が少ないプランでは、新しいキーを作る前に古いキーの削除が必要になることもありそうですね。
QStudioのパスワード変更も必要ですか？
たとえば、ふだんGoogleアカウントでStudioに入っている人と、メールアドレスで登録した人とでは、やることが違います。メールアドレスとパスワードでログインしている人は、パスワードの変更が必要です。2026年10月の不正アクセスを受けての対応です。一方、GoogleログインかFacebookログインだけを使い、Studioのパスワードを設定していない人は、この対応は要りません。
変更を行う際は、ログイン後の画面右上にあるユーザーアイコンから［設定］を選び、［アカウント］タブにある［パスワードを変更］へと進んでください。詳しい操作手順はStudioのパスワード変更手順にも記載されており、現在のパスワードと新しく決めた文字列を入力して保存すれば完了します。新しいパスワードには設定の条件があるので、画面の表示に沿って決めてください。
気をつけたいのは、同じパスワードをほかのサービスでも使っている場合です。Studioは、そちらのパスワードも変えるよう強く勧めています。同じパスワードを使い回していると、ひとつが漏れただけで別のアカウントにも入られやすくなります。もし心当たりがあるなら、移行先のWordPressやサーバー管理画面も含め、関連するすべてのサービスで別々の複雑なパスワードを設定し直しておきたいですね。
Q差し替えの依頼を装ったメールに注意すべきですか？
鍵の差し替えやパスワード変更を急いでいる最中に、Studioを名乗る不審な連絡が届いたらどのように見分ければよいのでしょうか。IPAのフィッシング対策情報でも注意が促されている通り、偽のメールや本物そっくりに作られた偽サイトを使ってログイン情報を盗み取る手口は非常に巧妙です。本物のメールの文面やサイトのデザインがそのまま使われることもあり、見た目だけで本物かどうかを見分けるのは難しくなっています。
Studioは、2026年10月の不正アクセスに関する案内メールにおいて、パスワードや認証情報の入力を求めるリンクを一切含めない旨を明言しています。そのため、「認証情報を再入力してください」「こちらから新しいキーを設定してください」と促してリンク先で入力を求めるメールが届いた場合、それは偽物である可能性が高いと判断できますね。メールやメッセージのリンクから開いた画面で入力を求められたら、何も入れずにStudioの問い合わせ窓口へ連絡してください。
Studioからのメールは、@studio.designや@studio.siteのアドレスで届きます。公式ヘルプに載っている外部サービスのアドレスから届くこともあります。ただし、送信元の表示が合っているからといって、それだけで安全とは言い切れません。ログインするときは、ログイン画面のURLがapp.studio.designになっているのを必ず確かめてください。
迷ったときは、メールのリンクは開かないことです。ブックマークや自分で入力したアドレスからStudioに入り、案内に書かれた内容を管理画面で確かめましょう。
この内容をChatGPTで相談
