api-security-hardening

API セキュリティの強化

目次

• 概要
• 使用するタイミング
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

認証、認可、レート制限、入力検証、攻撃防止など、包括的な API セキュリティ対策を実装し、一般的な脆弱性から保護します。

使用するタイミング

• 新しい API の開発
• セキュリティ監査で指摘された問題の修正
• 本番 API のセキュリティ強化
• コンプライアンス要件への対応
• 高トラフィック API の保護
• パブリック API の公開

クイックスタート

最小限の動作例：

// secure-api.js - Comprehensive API security
const express = require("express");
const helmet = require("helmet");
const rateLimit = require("express-rate-limit");
const mongoSanitize = require("express-mongo-sanitize");
const xss = require("xss-clean");
const hpp = require("hpp");
const cors = require("cors");
const jwt = require("jsonwebtoken");
const validator = require("validator");

class SecureAPIServer {
  constructor() {
    this.app = express();
    this.setupSecurityMiddleware();
    this.setupRoutes();
  }

  setupSecurityMiddleware() {
    // 1. Helmet - Set security headers
    this.app.use(
      helmet({
        contentSecurityPolicy: {
          directives: {
            defaultSrc: ["'self'"],
// ... (see reference guides for full implementation)

リファレンスガイド

詳細な実装については、references/ ディレクトリを参照してください。

ガイド	内容
Node.js/Express API セキュリティ	Node.js/Express API セキュリティ
Python FastAPI セキュリティ	Python FastAPI セキュリティ
API Gateway セキュリティ設定	API Gateway セキュリティ設定

ベストプラクティス

✅ 実施すること

• あらゆる場面で HTTPS を使用する
• レート制限を実装する
• すべての入力を検証する
• セキュリティヘッダーを使用する
• セキュリティイベントを記録する
• CORS を適切に実装する
• 強力な認証を使用する
• API にバージョンを付ける

❌ 避けること

• スタックトレースを公開する
• 詳細なエラーを返す
• ユーザー入力を信頼する
• API に HTTP を使用する
• 入力検証を省略する
• レート制限を無視する