始める前に。

• テストでエンドツーエンドの動作するエージェント統合 - エージェントに支払いを追加と実際のお金なしでテストを参照してください。
• 支出制御が設定されました - 支出制御を参照してください（このガイドは、ポリシーがすでに存在することを前提としています）。
• シークレットマネージャー（AWS Secrets Manager、GCP Secret Manager、Vault、1Passwordなど） - .envファイルのシークレットは不十分です。
• ウォレットダッシュボードに管理者アクセス権を持つ明確に特定されたオンコールエンジニア。
• 15分の集中した時間。以下のチェックリストは理想的なものではなく、1行ずつ作業してください。

APIキーとWebhookシークレットのローテーションをスケジュールします。

四半期ごとがデフォルトのリズムです。次のいずれかの場合には直ちにローテーションします：漏洩の疑い、リードエンジニアの退職、会社内の他のセキュリティインシデント。2キーウィンドウパターンにより、ダウンタイムなしでキーを交換できます：新しいキーを作成し、すべての場所に展開し、確認し、古いキーを取り消します。

// One-time key rotation script. Run quarterly, on lead departure, on suspected leak.
import { createClient } from "@blockchain0x/node";

const client = createClient({ apiKey: process.env.BLOCKCHAIN0X_API_KEY! });

async function rotate() {
  // Scope the new key to only what the agent needs.
  const fresh = await client.apiKeys.create({
    name: `prod-${new Date().toISOString().slice(0, 10)}`,
    scopes: ["read_wallet_metadata", "pay_bills", "receive_money"],
  });
  console.log("NEW KEY:", fresh.secret);            // Store in secret manager NOW.

  // Wait until the new key is deployed and verified working, THEN:
  // await client.apiKeys.revoke(OLD_KEY_ID);   // (or apiKeys.rotate in one call)
}

# One-time key rotation script. Run quarterly, on lead departure, on suspected leak.
from blockchain0x import Client
import datetime, os

client = Client()  # reads BLOCKCHAIN0X_API_KEY

def rotate():
    fresh = client.api_keys.create(body={
        "name": f"prod-{datetime.date.today().isoformat()}",
        "scopes": ["read_wallet_metadata", "pay_bills", "receive_money"],
    })
    print("NEW KEY:", fresh["secret"])   # Store in secret manager NOW.

    # Wait until new key is deployed and verified, THEN:
    # client.api_keys.revoke(OLD_KEY_ID)   # (or api_keys.rotate in one call)

Webhook署名シークレットは、ダッシュボードを通じて同様にローテーションします - 2番目のシークレットを有効にし、どちらかを受け入れるようにハンドラーを再デプロイし、古いものを退役させます。両方とも四半期ごとにカレンダーリマインダーで行います。

インシデントのランブックを作成（および訓練）します。

ランブックは、最近テストされたかどうかによってのみ良いものです。以下はテンプレートです - チームのウィキにコピーし、具体的に編集し、次の四半期に30分の演習をスケジュールします。時間を計り、演習で明らかになった不足を修正します。

# Incident response runbook - Agent wallet compromise (suspected or confirmed)

## Trigger
Any of:
- Unrecognised counterparty receiving > $10 USDC.
- > 50 rejected payment attempts from one agent in an hour.
- Engineer reports they cannot account for a recent payment.
- A leaked API key surfaces in a public scan.

## Step 1 - Stop the bleeding (< 5 minutes)
- Revoke the suspect API key: dashboard, or apiKeys.revoke / apiKeys.rotate.
- Revoke the agent's spend permission in the dashboard (allowance to zero).
- A revoked key cannot move funds and a revoked permission authorizes nothing.

## Step 2 - Preserve evidence (< 15 minutes)
- Pull the last 24h from the dashboard activity log and your stored events.
- Note the agent's spend permission as it was at the time of the incident.
- Note the timestamps of any unrecognised payments and their txHash on Base
  (fetch with transactions.get).

## Step 3 - Communicate (< 30 minutes)
- Inform the on-call lead and finance.
- If customer funds are affected, draft a notification template (do not send
  until investigation is far enough along to be accurate).

## Step 4 - Root cause and remediation (24-72 hours)
- Determine: leaked key, compromised webhook secret, prompt-injection
  bypass, integration bug, or other.
- Rotate every secret that could have been exposed.
- Tighten the spend permission (lower the allowance or per-transaction cap).
- File a post-mortem with timeline, RCA, and follow-ups.

セキュリティパスの後。

セキュリティは決して完了しませんが、他の運用スタックはクリーンなベースラインから恩恵を受けます。実際の使用データが蓄積されるにつれて支出管理を厳格化し、負荷に対してWebhook処理を強化し、エージェントのアイデンティティを確認してカウンターパーティがあなたの公開プロフィールを信頼できるようにします。

docs.blockchain0x.comに完全なリファレンスがあります。関連用語集: Coinbase Smart Wallet。製品サーフェス: エージェントウォレット。