Intercom REST APIを呼び出すシステムが既知の固定IPアドレスから動作している場合、REST API IP Allowlistにより、そのアドレスのみが認証できるように強制できます。APIキーが漏洩しても有効です。
これはトークンベース認証の上にネットワークレベルの保護層を追加し、予期しない場所からの不正アクセスリスクを減らします。
仕組み
Intercomは最初にリクエストのアクセストークンを検証します。
REST API IP allowlistingが有効でリストにエントリがある場合、Intercomはリクエストの送信元IPを確認します。
IPが許可されていない場合、リクエストは「Your IP address is not on the allowlist for API access」というメッセージと共に
403 Forbiddenレスポンスを返します。
設定方法
「Enable REST API IP allowlist」を切り替えます。
IPv4アドレスまたはCIDR範囲をカンマ区切りで入力します。例：
203.0.113.42
203.0.113.0/24
ページ上部の保存をクリックします。
動作概要
機能オフ → すべてのIPが許可されます。
機能オン＋リスト空 → すべてのIPが許可されます。
機能オン＋リストあり → リストにあるIP/範囲のみ許可されます。
リストにないIP → 403 Forbidden
注意
IPv4のみ対応。IPv6はまだサポートされていません。
すべてのREST API認証方法（OAuthトークンまたはAPIキー）に適用されます。
この制御は「Workspace access restrictions」とは別で、後者はIntercomダッシュボードへのログイン権限を管理します。両方を併用可能です。
監視
許可リストに変更があった場合、チームメンバーのアクティビティログが出力され、変更を監視できます。
注意：成功したREST APIのアクティビティを監視するには、現在ベータ版のapi.request.completed webhookトピックを利用できます。この機能に興味がある場合は、サポートに連絡してリクエストしてください。