Composioを安全に使うための基本設定

このページはComposioを使う時に、普段から確認しておきたい安全設定と、トラブル時にどう動くかをまとめた常設のセキュリティドキュメントです。

基本方針はシンプルです。

1. 普段は Composio FOR YOU を使う

2. Enhanced Controlをオンにする

3. APIキーは人に見せない、漏れたら作り直す

4. 可能ならIP allowlistingを使う

5. セキュリティ問題が起きている時は、無理に使わず落ち着くまで待つ

1. 基本はComposio FOR YOUを使う

普段使うのは、左上に FOR YOU と表示されているComposio画面にしてください。

Developer Platformは、開発者が自分のアプリやプロジェクト単位でComposioを管理するための画面です。日常的に確認する入口としては、まず FOR YOU 側を見れば大丈夫です。

2. Enhanced Controlをオンにする

Composio FOR YOU側の設定で、Enhanced Control をオンにしておきます。

Enhanced Controlは、MCPやAIエージェントがComposioのツールを使う時に、保存済みの承認ルールや権限ポリシーを反映しやすくするための設定です。

非エンジニア向けに言うと、これは「AIが外部ツールを使う時に、毎回なんでも自由に動ける状態にするのではなく、あらかじめ決めた許可ルールを効かせるための安全装置」です。

たとえば、Google Calendar、Gmail、Slack、Google SheetsなどをComposio経由で使う場合、AIが外部サービスにアクセスします。その時に、何を許可するか、どの接続に対して承認済みルールを使うかを管理しやすくするのがEnhanced Controlです。

場所は、FOR YOU → Settings → General です。

画面内に Enable Enhanced Control というトグルがあるので、オンになっているか確認してください。

オフのままだと、Composioに保存している承認ルールや接続ごとのポリシーが、MCPセッションに反映されにくくなる可能性があります。特別な理由がなければオンにしておきましょう。

3. APIキーは安全に扱う

APIキーは、Composioを外部ツールから使うための鍵です。

APIキーを持っている人やプログラムは、Composioに対して操作できる可能性があります。つまり、APIキーはパスワードと同じくらい慎重に扱う必要があります。

APIキーの基本ルール

• APIキーをチャットやスクリーンショットに載せない

• APIキーをメモやドキュメントにそのまま貼らない

• 必要がない人に共有しない

• 不要になったキーは削除する

APIキーを入れ替える時

たとえば、Composio側でセキュリティ問題が起きた場合や、APIキーを誰かに見せてしまった可能性がある場合は、APIキーを入れ替えます。

APIキーを入れ替えたら、Composioを使っている設定も新しいキーに差し替えます。差し替え後は、普段使っている一番小さい操作を1つだけ試してください。

API設定ページ：https://dashboard.composio.dev/nakashodayon/~/connect/settings/sessions

4. IP allowlistingを使う

Composioでは、APIキーを使えるIPアドレスを制限する IP allowlisting を設定できます。

Composio IP Allowlist Settings

IP allowlistingは、指定した場所からしかAPIキーを使えないようにする設定です。

たとえば、会社や自宅の固定IPが分かる場合は、そのIPだけを許可することで安全性を上げられます。

一方で、固定IPが分からない場合や、設定に自信がない場合は、無理に設定しなくて大丈夫です。間違って設定すると、正しい操作まで動かなくなることがあります。

5. セキュリティ問題が起きている時は極力使わない

Composioや接続先サービスでセキュリティ問題が起きている時は、無理に接続作業を進めないでください。

特に、Connectボタンを押しても進まない、画面が不安定、公式からメンテナンスや調査中の案内が出ている、という場合は、いったん止めて大丈夫です。

このような時の基本行動は次の通りです。

1. 公式案内を確認する(基本Gmailに問題発生時に通知が来ます)

2. 必要ならAPIキーを入れ替える

3. 新しい接続や再接続を急がない

4. Composio経由の重要な操作は一時的に控える

5. メンテナンスや復旧案内が出てから再確認する

最小チェックリスト

1. Composio FOR YOUを使う

2. Settings → GeneralでEnhanced Controlをオンにする

3. APIキーを人に見せない

4. APIキーが漏れた可能性がある時は入れ替える

5. 固定IPが分かる場合だけIP allowlistingを設定する

6. セキュリティ問題が起きている時は無理に使わず、公式案内を確認する

公式情報

仕様や画面は変わることがあります。最新情報はComposioの公式ページを確認してください。

• Composio Authentication docs

• Delete and generate new API key for project

• Composio May 2026 Security Incident