鍵のローテーション

セキュリティ更新: 2026-10-22

暗号鍵を定期的に交換すること。鍵が漏れても、露出するデータを限定できる。

目安として、APIキーは90日、署名鍵は年1回、データベースの認証情報は24〜72時間（動的発行）。KMS（AWS、Azure、GCP、Vault）が自動化してくれる。「エンベロープ暗号化」では、データをDEKで、そのDEKをKEKで暗号化するため、ローテーションが必要なのはKEKだけで済む。