Web APIのセキュリティとは？うぇぶえーぴーあいのせきゅりてぃ
Web APIのセキュリティとは、画面を介さず機械が直接呼ぶ接点を守る設計で、認証と認可、入力検証、流量制御、記録の4点を軸に組む。人の操作を挟まないぶん自動化された大量呼び出しが前提となり、呼び出し1件ごとの権限判定と、回数の上限設定が特に重くなる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
画面のある業務システムでは、権限の制御をメニューやボタンの出し分けで代用できてしまう場面が多かった。APIは画面を通らず直接叩けるため、その代用がまったく効かない。認証は通っているが他人のデータのIDを指定すれば読めてしまう欠陥が、公開後に外部から機械的に探索される。設計の段階で、誰かという判定とどの資源かという判定を分けて置く必要がある。
具体例
利用者の代理で呼ぶならOAuthのアクセストークン、サーバ間ならクライアント証明書や短命のトークンと使い分ける。応答に含める項目は必要最小限に絞り、内部の連番IDや他人の項目を返さない。エンドポイントにはバージョンを付け、廃止したものは閉じたことまで確認する。
試験での引っ掛け
APIキーはどのアプリからの呼び出しかを示す長い文字列にすぎず、利用者の認証の代わりにはならない点。クライアントアプリへ埋め込めば取り出されるうえ、キーがあることは呼び出しごとの認可判定を省いてよい理由にもならない。GraphQLでは1回の要求で取得量が読めない点にも別の手当てが要る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。