サードパーティの Twitter API を使うのは合法か

#サードパーティの Twitter API を使うのは合法か

サードパーティの Twitter API を使ったプロジェクトが適法かどうかは、3つのルールで決まります。それぞれが別の問いを立てます。

1. コンピューターへのアクセスに関する法律は、権限のないシステムに誰かが立ち入ったかどうかを問います。非公開アカウント、プライベートメッセージ、他人のログイン情報が、その境界線にあたります。

2. 契約は、何に同意したかを問います。API キーを発行したプロバイダーの規約と、X 上での行動に適用される X の規約です。

3. プライバシー法は、人について何を保存しているかを問います。名前やハンドルが付いた公開ポストは、EU と英国では今も個人データです。

1つ目の層について、米国の裁判所は公開データを境界線にしてきました。hiQ Labs 対 LinkedIn（新しいタブで開きます） で、第9巡回区控訴裁判所は2022年4月、公開されている LinkedIn のプロフィールを収集することは、コンピューター詐欺・不正利用防止法（CFAA）にいう「権限のないアクセス」にはあたらない可能性が高いと判断しました。同じ年の後半、この事件は契約の面では hiQ に不利に進み、第一審裁判所が hiQ による LinkedIn の利用規約違反を認定しました。法律と契約は別の問題であり、どちらも重要です。

x.com から自分でデータを集める場合は別の問題で、答えも別です。詳しくは Twitter をスクレイピングするのは合法か で解説しています。

#サードパーティ API を使うとき、どの規約が適用されるか

この議論で引用される文書は、それぞれ同意した人との間の契約です。まず、自分がどれに同意しているかを整理しましょう。各文書は2026年11月2日に確認しました。

• プロバイダーの利用規約

  同意する人

  アカウントを作成して API キーを取得したあなた

  ここで重要な条項

  データでできること、そして自分に適用される法律を守る義務

• X 利用規約（新しいタブで開きます）（2026年10月9日施行）

  同意する人

  X に登録した、または X のサイト、アプリ、公式 API を利用するあなた

  ここで重要な条項

  X と X アカウントの使い方。作成者は自分のポストに対する「所有権と権利を保持」する

• X Developer Agreement（新しいタブで開きます） と Developer Policy

  同意する人

  公式 X API を使う開発者

  ここで重要な条項

  公式 X API と、それが返すコンテンツが対象。レート制限、データ共有の上限、基盤モデルの学習禁止など

同意した文書は全文を読んでください。X にサインインする場合や、公式 X API 上でアプリを動かす場合は、その利用にも X のルールが適用されます。

2023年のサードパーティアプリに関するルール

サードパーティ API の話でもっともよく引用されるルールは、言われているよりも対象が狭いものです。2023年1月、Twitter は Tweetbot や Twitterrific などのサードパーティアプリを締め出したのち、Developer Agreement に1行を追加し、開発者が公式 X API を使って「X Applications の代替または類似のサービスや製品を作成すること、またはその試み」を禁じました。当時の The Register の報道（新しいタブで開きます）のとおりです。この1行は現在も残っています。公式 X API に適用される契約の中にあり、対象は X 自身のアプリを置き換えるアプリです。

#公開ポストを保存するとき、プライバシー法が求めること

プライバシー法が追うのはデータに含まれる人であり、取得元の API ではありません。そのため、どの取得元でも同じルールが適用されます。多くのチームが最初に出会う2つの法律は、公開ポストの扱いが正反対です。

• GDPR（新しいタブで開きます）（EU、EEA）と英国 GDPR

  適用される場合

  当該地域に拠点がある、または当該地域の人にサービスを提供している、もしくは行動を監視している

  公開ポストは個人データか

  はい。識別可能な人に関する情報はすべて該当し、ハンドルも含まれる

  求められること

  正当な利益などの適法な根拠、不均衡な労力がかかる場合を除く本人への通知、必要なデータのみの保存、不要になった時点での削除

• CCPA（新しいタブで開きます）（カリフォルニア州）

  適用される場合

  事業が基準値を満たし、カリフォルニア州の住民のデータを保有している

  公開ポストは個人データか

  一般公開された情報は対象外。ただしそこから推測したプロフィールは対象

  求められること

  保有する個人情報（推測プロフィールを含む）に関する通知と、プライバシーに関するリクエストへの回答

見落とされやすい点が2つあります。GDPR は、政治的意見、宗教、健康、性的指向を明らかにするデータを制限しているため、ポストからこれらを推測する処理はプロジェクトに含めないでください。もう1つは、手元のコピーを最新に保つことです。X で削除されたポストや、非公開になったアカウントが、自分のデータベースに残り続けてはいけません。

#収集したポストは誰のものか

ポストを書いた人が、そのポストの所有者です。X の利用規約には、ユーザーが投稿した内容の所有権を保持し、X にはそれを表示するためのライセンスを与えると定められています。写真や動画も同様に、作成者のものです。

これが、データでできることを左右します。ポストを数える、エンゲージメントを測る、トピックを時系列で追う、元ポストへのリンク付きで引用する。これらは X データの日常的な使い方です。全文の一括再公開やポストのデータセットの販売では投稿者の著作権が関わるため、全文ではなくリンクやポスト ID を共有してください。

#Twitter API を使う前に確認すること

利用者であるあなたに降りかかるリスクは、6つのチェックでカバーできます。どれも数分で済みます。

1. X アカウントを巻き込まない。 データツールには、X のパスワード、Cookie、セッショントークンを絶対に渡さないでください。自動化ツールがサインインしたアカウントを、X はロックすることがあります。

2. 公開データにとどめる。 非公開アカウントとプライベートメッセージは対象外にします。それらを返すツールは、所有者が公開していないデータを読んでいます。

3. 支払う前にプロバイダーの規約を読む。 データでできること、プロバイダーがリクエストを保管する期間、運営している会社を確認します。

4. 仕事に必要な分だけ保存する。 使うフィールドだけを保存し、削除する期日を決め、X で削除されたポストは手元からも消します。

5. データに含まれる人がどこに住んでいるかを把握する。 EU、EEA、英国の人を監視するなら、会社の所在地にかかわらず GDPR が適用されます。

6. 実績を確認する。 本番稼働の年数と処理してきたリクエストの量を見れば、X が次に変更を加えた後もデータが届き続けるかが分かります。

料金、速度、エンドポイントは判断のもう半分です。そちらは Twitter API の選び方 で解説しています。

#Sorsa API はチェックリストにどう対応するか

Twitter（X）API 兼スクレイピングツールである Sorsa API は、利用者が管理できるチェック項目を軸に作られています。公開データのみを返し、利用者の X アカウントには一切触れず、費用は公式 X API のごく一部です。X アカウントを危険にさらさずに公開 X データを読むなら、Sorsa API を使ってください。ツイートは100件単位のバッチで1,000件あたり$0.014から、公式 X API（新しいタブで開きます） は1,000投稿あたり$5.00です。

• X アカウント

  Sorsa API

  X のログイン情報、Cookie、トークンを一切求めない。アカウントへのリスクはゼロ

• 公開データのみ

  Sorsa API

  公開ポスト、プロフィール、フォロワー、リスト、コミュニティ。非公開アカウントや DM は対象外

• 最新のデータ

  Sorsa API

  すべてのレスポンスが最新なので、削除されたポストは返ってこない

• 支払う前の規約

  Sorsa API

  サイトに利用規約とプライバシーポリシーを掲載。プランの前に100回分の無料リクエストで試せる

• リクエストデータ

  Sorsa API

  レスポンス全文は30日間、リクエストログは1年間保管し、その後削除

• 実績

  Sorsa API

  2022年から本番稼働。累計60億リクエスト以上を処理。利用規約で稼働率99.9%を保証

• 料金

  Sorsa API

  ツイートは1,000件あたり$0.014から。公式 X API の250分の1

Sorsa API は設計上、読み取り専用です。投稿、いいね、フォロー、メッセージ送信は一切行わないため、連携先のアプリが誰かの代わりに X 上で操作することはありません。運営は Scouts Labs Inc で（Sorsa API について）、稼働状況とセキュリティの詳細も公開しています。X と X のロゴは X Corp の商標です。Sorsa API は X Corp と提携しておらず、X Corp の承認やスポンサーを受けていません。

最初のリクエストに必要なのはキー1つで、X の開発者アカウントは不要です。

1. アカウントを作成する。 サインアップして、ダッシュボードから API キーをコピーします。100回分の無料リクエストがすでに付いています。

2. 公開プロフィールを取得する。 クエリにユーザー名を、ApiKey ヘッダーにキーを指定して送信します。

   curl -G "https://api.sorsa.io/v3/info" \
     -H "ApiKey: YOUR_API_KEY" \
     --data-urlencode "username=public_data_example"
   

3. JSON を読む。 GET /info（新しいタブで開きます） は公開プロフィールを返します。表示名、自己紹介、フォロワー数とフォロー数、アカウントの作成日です。

4. 次の処理はバッチにする。 POST /tweet-info-bulk（新しいタブで開きます） は、1リクエストあたり最大100件の公開ポストを、それぞれの投稿者のプロフィール付きで返します。

キーなしのリクエストは403、誤ったキーは401、毎秒20リクエストを超えると429が返ります。失敗したリクエストに課金されることはありません。

#公開データと、読んだ規約から始める

サードパーティの Twitter API で公開データを読み取ることは合法です。Sorsa API は、自分が管理できる部分を引き受けます。公開データのみを返し、レスポンスは常に最新で、X のログイン情報を求めず、ツイートを公式 X API の$5.00ではなく1,000件あたり$0.014から読み取れます。100回分の無料リクエストから始めて、プロジェクトに必要なものだけを保存し、その上に構築してください。

#よくある質問