GoogleAPIキーは削除後も最大23分間有効のまま

【なぜ重要か】 Google APIキーを削除してもすぐに無効化されず、最大23分間認証が通り続ける問題が発覚しました。この間に攻撃者がリークしたキーを悪用してGeminiなどのAPIにアクセスし続ける可能性があり、日本企業のセキュリティインシデント対応に直接影響します。

【ポイント】

• 削除したGoogle APIキーが実際に無効化されるまで8〜23分（中央値16分）かかり、この間攻撃者は継続してAPIアクセス可能
• GCPコンソールは削除直後に「もう使用できません」と表示するが実際は虚偽で、ユーザーは無効化の進行状況や完了を確認する手段がない
• 地域によって無効化の挙動が異なり、米国から遠い地域の方が削除を早く検知する逆転現象が発生
• 同じGoogleでもService Accountキー（約5秒）や新しいGemini APIキー（約1分）は高速無効化されており、技術的解決は可能
• Googleは本件を「修正しない」として報告を却下済み

【まとめ】 Google APIキーの削除は30分かかる作業として扱い、その間はGCPコンソールで不正利用を監視する必要があります。