HerokuのAPIを叩くのにはユーザー名とパスワードを送る必要があると思っていたのですが、いつの間にかHerokuのMy AccountページにAPIキーが表示されるようになっていて、herokuコマンドもAPIキーを利用する形になっていたようです（知らなかった）。

• #103: Heroku::Client should accept API Key? - Issues - heroku/heroku - GitHub
• File: README — Documentation by YARD 0.7.2

自分のマシンの~/.heroku/credentialsには今もユーザー名とパスワードがベタに格納されている状態だったので、いったんcredentialsを削除してからherokuコマンドを呼んでユーザー名とパスワードを入力したところ、credentialsにはユーザー名とAPIキーが格納されるようになりました。

$ rm ~/.heroku/credentials
$ heroku list