Figmaの個人アクセストークンは、アカウントのSettings → Securityから生成します。
Figmaの個人アクセストークン（PAT）は、作成したユーザーの権限でREST API（外部プログラムからFigmaの情報を取得・操作する仕組み）を使う認証情報です。
ファイルの構造を取得する個人スクリプトなどに使います。
取得後は、必要なスコープ（許可する操作の範囲）、対象ファイルへのアクセス、有効期限をそれぞれ確認してください。
Figma公式MCPサーバーは独自のOAuth認証を使います。
REST API用PATの作成・スコープ設定と、公式MCPの接続手順や利用制限を混同しないようにします。
2026年10月25日にFigma REST API v1の公式資料を確認しました。
設定画面の再操作や実トークンでのAPI接続は、今回行っていません。
個人アクセストークンを取得する手順
- Figmaにログインし、ファイルブラウザーのアカウントメニューを開きます。
- Settings（設定）からSecurity（セキュリティ）を選びます。
- Personal access tokensのGenerate new tokenを選びます。
- 用途を識別できる名前、有効期限、必要なスコープを設定します。
- Generate tokenで生成し、表示された値を安全な保存先へコピーします。
生成した値はその場でしかコピーできません。
画面を離れた後に値を再確認することはできず、紛失した場合は新しいトークンが必要です。
利用をやめた連携のトークンは同じSecurity画面から失効させます。
次の画像は2026年1月の設定画面です。
Security内のPersonal access tokensの位置を示す参考で、生成後のトークン表示画面ではありません。
有効期限は生成画面に表示される選択肢から、運用に必要な期間を選びます。
固定の最大日数を前提にせず、生成したトークンの期限と更新日を記録してください。
ファイル内容の取得に必要なスコープ
GETでファイル構造を取得する例では、file_content:readを選びます。
用途の異なる権限を一括で付ける前に、呼び出すエンドポイントのRequired scopesを確認します。
| 用途 | 主なスコープ | 確認点 |
|---|---|---|
| ノード・ファイル内容、レンダリング画像 | file_content:read | 対象ファイルにアクセスできること |
| ファイルのメタ情報 | file_metadata:read | 内容取得とは別の権限 |
| コメントの参照／投稿・削除 | file_comments:read／file_comments:write | 書き込みは必要なときだけ |
| バージョン履歴 | file_versions:read | 履歴を読む処理で使用 |
| 公開コンポーネント・スタイル | library_assets:read／library_content:read／team_library_content:read | 個別・ファイル・チームの取得先で選択 |
| フォルダーと所属ファイル | folders:read | 旧projects:readからの移行先 |
| 開発リソース | file_dev_resources:read／file_dev_resources:write | 参照と変更を区別 |
| Webhook | webhooks:read／webhooks:write | 登録や変更には書き込み権限 |
| Variables REST API | file_variables:read／file_variables:write | Enterpriseなどエンドポイント側の条件も確認 |
スコープはエンドポイントへのアクセスを指定するものです。
ファイル所有者や組織が設定した権限を超えることはできません。
また、PATのスコープを選んでも「この1ファイルだけ」という制限にはなりません。
信頼できる連携に用途ごとのトークンを渡してください。
次の画像は2026年1月のスコープ選択画面です。
現在の項目名は公式一覧と生成画面で確認します。
Node.jsからファイル内容を取得する例
以下はサーバー側・ローカル実行用の例です。
Node.js 24系と、対象ファイルを開けるFigmaアカウントを前提にします。
環境変数FIGMA_TOKENにPAT、FIGMA_FILE_KEYに対象ファイルのキーを設定して実行します。
FigmaのURLがhttps://www.figma.com/design/abc123/名前なら、ファイルキーはabc123です。
公開WebページのJavaScriptにPATを埋め込むと、閲覧者が取得できてしまいます。
トークンを扱う処理をサーバー側に置き、ログにも値を出力しないでください。
次のコードをUTF-8のテキストファイルとして、figma-file.cjsという名前で保存します。
async function main() {
const token = process.env.FIGMA_TOKEN;
const fileKey = process.env.FIGMA_FILE_KEY;
if (!token || !fileKey) {
throw new Error('FIGMA_TOKENとFIGMA_FILE_KEYを設定してください');
}
const url = 'https://api.figma.com/v1/files/' + encodeURIComponent(fileKey);
const response = await fetch(url, {
headers: { 'X-Figma-Token': token }
});
if (!response.ok) {
const retry = response.headers.get('Retry-After');
throw new Error('Figma API HTTP ' + response.status +
(retry ? ' / Retry-After: ' + retry + '秒' : ''));
}
const data = await response.json();
console.log('ファイル名:', data.name);
}
main().catch(error => {
console.error(error.message);
process.exitCode = 1;
});同じフォルダーに.envを作り、次の2つの値を自分のPATとファイルキーに置き換えます。
FIGMA_TOKEN=ここを自分のPATに置き換える
FIGMA_FILE_KEY=ここを対象ファイルのキーに置き換える.envには認証値が入るため、自分だけが読める場所に保存し、公開リポジトリや共有フォルダーへ含めないでください。
ターミナルで保存先フォルダーを開き、次のコマンドを1回実行します。
node --env-file=.env figma-file.cjs成功時はファイル名:の後に対象の名前が表示されるので、Figmaで開いたファイルと照合します。
このコードはファイル内容を取得しますが、表示するのは名前だけで、Figma上の内容は変更しません。
--env-fileはファイルから環境変数を読み込むNode.jsのオプションです。
同名の環境変数を既に設定している場合は、そちらが優先されます（Node.js公式の説明）。
実行環境が古い場合は、標準のfetchと--env-fileに対応するNode.jsへ更新してください。
2026年10月25日にWindowsのNode.js 24.15.0で、通信先を模擬応答に置き換えて6ケースを確認しました。
成功、401・403・429、環境変数の優先順、設定不足の処理を確認したもので、Figmaへの接続試験ではありません。
認証ヘッダーはX-Figma-Tokenです。
この例は取得方法を示すコードで、実トークンを発行してFigma APIへ接続した結果ではありません。
401・403・429のエラーが返るときの対処
| 状況 | 確認する内容 |
|---|---|
| 401など認証に関する失敗 | 期限・失効・コピーの欠落・ヘッダー名 |
| 403などアクセスに関する失敗 | Required scopes、同じユーザーのファイル権限、プランや組織の条件 |
| 404など対象が見つからない失敗 | URLから抜いたファイルキーと参照先 |
| 429 | Retry-Afterに従って待つ。連続再試行を止める |
レスポンスの内容も併せて確認し、番号だけで原因を一つに決めないようにします。
REST APIの制限はユーザーの席（利用権限の区分）、エンドポイントのTier（制限の区分）、取得対象が属するプランによって変わります。
自分が有料席でも、取得するファイル側のプランの制限が適用される場合があります。
再試行の前に、発生日時・HTTP番号・使ったエンドポイントと変更箇所を控えてください。
トークンの値や認証ヘッダーの中身を、相談用の記録へ貼り付ける必要はありません。
設定不足で止まった場合は、保存したファイル名と実行フォルダーを先に確認します。
ファイルを開けない場合は、同じアカウントで対象を閲覧できるか確かめてからスコープを見直しましょう。
期限・権限・ファイルキーを一度に変えると、どの変更で直ったか分からなくなります。
一つ直すごとに取得先と結果を照合し、同じエラーなら次の確認へ進んでください。
429はトークンの再発行で解消する前提にしません。
PATのレート制限はユーザーとプラン単位で数えると、公式資料に記載されています。
2026年10月28日に同資料を確認したうえで、連続実行を止める手順を案内しています。
トークンの更新・失効と関連する記事
用途と利用先を記録し、期限前に新しいトークンへ切り替えます。
新しい値を連携先へ設定し、対象ファイルの取得を確認してから旧トークンを失効させます。
不要な連携や身に覚えのない利用がある場合は、Securityの一覧で対象トークンを選び、Revoke accessで失効させます。
公開リポジトリや画面写真へ値を載せない運用も必要です。
REST APIとPlugin APIの選択は取得できる情報の比較で、GASへの設定例はスプレッドシート出力で解説しています。
既存のコード資料はGitHubにもあります。
認証値の管理はこの記事の環境変数方式を基準にしてください。
まとめ：取得先と権限を確認してから連携する
まず用途に必要なスコープと期限を決め、取得したファイル名が意図したものか照合してください。
トークンを更新する通常の手順と、漏えいが疑われるときの即時失効は分けて考えましょう。