Web APIのセキュリティとは？

Web APIのセキュリティの意味

画面を介さず機械が直接呼ぶ接点を守る設計。認証・認可、入力検証、流量制御、ログの4点が軸になる。人が操作する画面と違い自動化された大量呼び出しが前提のため、1件ずつの権限判定と呼び出し回数の制限が特に重要になる。

Web APIのセキュリティの具体例

利用者の代理でアクセスするならOAuthのアクセストークン、サーバ間ならクライアント証明書や短命のトークンを使う。返す項目は必要最小限に絞り、内部IDや他人の項目を含めない。バージョンを付け、廃止したエンドポイントは確実に閉じる。

Web APIのセキュリティは試験でどう引っ掛けられる？

APIキーは「誰か」を示すだけの長い文字列で、クライアントアプリに埋め込めば取り出される。認証の代わりにはならず、利用者ごとの認可判定を省いてよい理由にもならない。GraphQLでは1リクエストの取得量が読めない点にも注意が要る。

Web APIのセキュリティと関連する用語

• OAuth 2.0
• CORS