FirebaseのAPIキー制限を設定しました【Gemini悪用リスクへの安全対策】

最近、「Googleが公開してもOKと言っていたAPIキーが、実はGeminiの認証キーにもなっていて、悪用されるリスクがある」というニュースが話題になりました。 「FirebaseのAPIキーは公開が前提」と言われて、「いいねボタン」にも使っています。

なぜニュースで騒がれているの？

FirebaseのAPIキーは、実は「Google Cloud全体のAPIキー」でもあります。それが、最近のGoogleのアップデートで、FirebaseのキーがそのままGeminiのキーとしても動くようになってしまったために、大騒ぎになっています。

今すぐやるべき「２つの制限設定」

Google Cloud コンソールで、ウェブサイトの制限（リファラー制限）とAPIの制限を設定します。

ステップ１：管理画面にログインする

1. Google Cloud コンソール(認証情報) にアクセスします
2. Firebaseで使用しているプロジェクトを選択します
   ※プロジェクトが複数ある場合は、画面左上のプロジェクト名から、プロジェクトを切り替えてください
3. 「API キー」という一覧の中から、キー名をクリックして、編集画面に入ります。

ステップ２：ウェブサイトの制限（リファラー制限）をする

1. 「アプリケーションの制限」 セクションで [ウェブサイト（HTTP リファラー）] を選択します
2.  「ウェブサイトの制限」 の下にある「項目を追加」を押し、自分のブログURLを入力します
    例：https://sa-asobuzo.blogspot.com/*
   ※ワイルドカード（*）は絶対に必要です

これで、自分のブログURL以外からは、このキーを使えなくなります。

ステップ３：API制限をする

1. 「API の制限」 セクションで [キーを制限] を選択します
2. 「API を選択」のドロップダウンから、「AI・ML（機械学習）」と名前がつくもののチェックを外します

※必要なものだけにチェックが正しいのですが、判別がつかないので危ないものだけ外しました。
頼みのGeminiとChatGPTがお互い全然違うことを言い出した😱

今回のニュースが怖いのは、「Googleが勝手に、APIキーにGeminiの権限を合体させてしまった」ことにあります。今回の作業でGeminiの権限は外したので、これで一安心です。

最後に、Geminiが

「Googleに任せる」のではなく、「Googleに『これ（AI）だけは絶対させないで！』と命令しておく」のが、2026年の正しい付き合い方です。

って言ってた、お前もGoogleだろ😅