Voice 及び MMS の認証機能が変更される件

はじめに

みなさん、こんにちは。

今回は、本日Twilioから届いた以下のタイトルのメールについて、例の通り英語で分かりづらいので解説記事を書きました。
[Breaking Change] Enforcing HTTP Authentication for Call Recordings and MMS Media, Effective July 31, 2023

対象

Voice および MMS を使って、メディアファイル（録音データなど）を Twilio からダウンロードする際に、HTTP認証が必須になります。日本では MMS　は使えませんので、主に Voice で録音をしているユーザーが対象 になります。

変更内容

現在、Voice で録音をすると、録音データはまず Twilio 上に保管されます。録音データにはそれぞれrecordingUrlが設定され、そのURLを使ってデータをダウンロードすることができます。
このとき、デフォルトの設定では認証機能が無効になっているため、URL を知っている第三者が録音データにアクセスすることが可能になっています。
そのため、URLアクセス時に HTTP 認証を強制することができるようになっており、強制するかどうかは、管理コンソール上のVoice設定画面で設定することができます。

Voice > Settings > General

今回の変更で、2023年7月31日（日本時間だと8月1日午前9時）以降に作成される新規アカウントについては認証は必須となり、この設定を無効（Disabled）にすることができません。
すでにお持ちのアカウントで、この設定をすでに有効（Enabled）にしている方は、今後無効にすることができなくなります。また、同じくすでにアカウントをお持ちの方で、現在設定が無効になっている方は、設定自体は7月31日になっても強制的に有効にはなりません。 ただし、セキュリティ上、有効にすることをおすすめします。

認証方式は、ID/PassのBasin認証となります。
AccountSidとAuthTokenの組み合わせでもいいですが、API KeyとAPI Secretの組み合わせを使うことをおすすめします。

影響範囲の確認

まずは現在の設定状況を確認してください。
その上で、設定が無効になっている方は、7月31日までに一度設定を有効にしていただき、現状のシステムで不具合が出ないことを確認してください。不具合が出ないようであれば、設定は有効のままにしておきます。

もし不具合が出るようであれば、ダウンロードのために認証機能を実装する必要があります。

axios を使った場合の例はこんな感じです。

    try {
      // Download from Twilio
      const res = await axios({
        method: 'GET',
        url: `${recordingUrl}.wav`,
        responseType: 'blob',
        auth: {  // Basic認証
          username: TWILIO_API_KEY,
          password: TWILIO_API_SECRET,
        },
      ・・・
      });
    } catch (err) {
      // エラー処理
      ・・・
    }

もしくは、以下のようにrecordingUrlに認証情報を付加することもできます。

https://<TWILIO_API_KEY>:<TWILIO_API_SECRET>@<recordingUrl>.wav

まとめ

今回の仕様変更では、既存のユーザーが設定を無効のままで使い続けることは可能ではありますが、新規アカウントでは強制的に有効となりますし、セキュリティ上も好ましくないので、設定は変更しておくことをおすすめします。

---

自己紹介
	高橋克己（Katsumi Takahashi） 自称「□い芸人」 グローバル・インターネット・ジャパン株式会社　代表取締役 株式会社KDDIウェブコミュニケーションズ　コミュニケーションDX事業部エバンジェリスト 2001年より大手通信事業者の法人サービスの教育に携わり、企業における電話のしくみや重要性を研究。2016年よりKWCにジョインし、Twilioを使ったスマートコミュニケーションの普及活動を精力的に行っている。 2015 Hall of Doers 2019 Twilio Champions