APIと連携サービス

明確な契約、アクセス制御、障害対応を備えたAPI連携を設計し、依存関係を確認します。

92 記事 · 記事の最終更新

記事本文や過去の記事を含む、この分野のすべての記事を検索します。

Instant ON：外向き通信を制御する

公開 · 更新

Instant ON：サーバーサイドリクエストフォージェリ（SSRF）。2026-09-30の事例として、CERTFR-2026-AVI-1238に基づく1件のバージョン記載と18件のCVE、対象バージョン、ネットワーク接続に適した検証を整理します。

記事を読む

DSM：データベースクエリを保護する

公開 · 更新

DSM：SQLインジェクション。2026-09-21の事例として、CERTFR-2026-AVI-1209に基づく4件のバージョン記載と8件のCVE、対象バージョン、バックアップに適した検証を整理します。

記事を読む

WordPress：コンテンツとスクリプトを分離する

公開 · 更新

WordPress：クロスサイトスクリプティング（XSS）。2026-09-19の事例として、CERTFR-2026-AVI-1200に基づく1件のバージョン記載と0件のCVE、対象バージョン、ウェブアプリケーションに適した検証を整理します。

記事を読む

MISP：外向き通信を制御する

公開 · 更新

MISP：サーバーサイドリクエストフォージェリ（SSRF）。2026-09-14の事例として、CERTFR-2026-AVI-1170に基づく1件のバージョン記載と19件のCVE、対象バージョン、実行基盤に適した検証を整理します。

記事を読む

EcoStruxure IT Data Center Expert：外向き通信を制御する

公開 · 更新

EcoStruxure IT Data Center Expert：サーバーサイドリクエストフォージェリ（SSRF）。2026-09-08の事例として、CERTFR-2026-AVI-1132に基づく1件のバージョン記載と2件のCVE、対象バージョン、産業システムに適した検証を整理します。

記事を読む

Roundcube Webmail：外向き通信を制御する · 2026-09-07

公開 · 更新

Roundcube Webmail：サーバーサイドリクエストフォージェリ（SSRF）。2026-09-07の事例として、CERTFR-2026-AVI-1122に基づく2件のバージョン記載と0件のCVE、対象バージョン、メールシステムに適した検証を整理します。

記事を読む

AOS-CX, Fabric Composer：外向き通信を制御する

公開 · 更新

AOS-CX, Fabric Composer：サーバーサイドリクエストフォージェリ（SSRF）。2026-09-02の事例として、CERTFR-2026-AVI-1104に基づく6件のバージョン記載と86件のCVE、対象バージョン、ネットワーク接続に適した検証を整理します。

記事を読む

Redmine：コンテンツとスクリプトを分離する

公開 · 更新

Redmine：クロスサイトスクリプティング（XSS）。2026-08-27の事例として、CERTFR-2026-AVI-1085に基づく3件のバージョン記載と0件のCVE、対象バージョン、ウェブアプリケーションに適した検証を整理します。

記事を読む

Telerik UI pour AJAX：外向き通信を制御する

公開 · 更新

Telerik UI pour AJAX：サーバーサイドリクエストフォージェリ（SSRF）。2026-08-07の事例として、CERTFR-2026-AVI-0977に基づく1件のバージョン記載と13件のCVE、対象バージョン、ウェブアプリケーションに適した検証を整理します。

記事を読む

PHP：データベースクエリを保護する

公開 · 更新

PHP：SQLインジェクション。2026-07-31の事例として、CERTFR-2026-AVI-0952に基づく4件のバージョン記載と4件のCVE、対象バージョン、実行基盤に適した検証を整理します。

記事を読む

Roundcube Webmail：外向き通信を制御する

公開 · 更新

Roundcube Webmail：サーバーサイドリクエストフォージェリ（SSRF）。2026-07-21の事例として、CERTFR-2026-AVI-0835に基づく2件のバージョン記載と6件のCVE、対象バージョン、メールシステムに適した検証を整理します。

記事を読む

Splunk Enterprise：セッション操作を検証する

公開 · 更新

Splunk Enterprise：クロスサイトリクエストフォージェリ（CSRF）。2026-07-18の事例として、CERTFR-2026-AVI-0888に基づく14件のバージョン記載と31件のCVE、対象バージョン、検知ツールに適した検証を整理します。

記事を読む

Drupal：コンテンツとスクリプトを分離する

公開 · 更新

Drupal：クロスサイトスクリプティング（XSS）。2026-07-16の事例として、CERTFR-2026-AVI-0889に基づく3件のバージョン記載と3件のCVE、対象バージョン、ウェブアプリケーションに適した検証を整理します。

記事を読む

Modèles SMA1000 6210, 7210 et 8200v：外向き通信を制御する

公開 · 更新

Modèles SMA1000 6210, 7210 et 8200v：サーバーサイドリクエストフォージェリ（SSRF）。2026-07-15の事例として、CERTFR-2026-AVI-0875に基づく2件のバージョン記載と2件のCVE、対象バージョン、ネットワーク接続に適した検証を整理します。

記事を読む

トピックを理解する

このトピックの実践ガイド

接続された機能は、ID、インターフェース契約、サプライヤー、障害モードに依存する。 このカテゴリは、API設計、セキュリティ、継続性、およびユーザーが受け取るサービスの品質を関連付ける。

確認すべき事項
  • 各ジャーニーに不可欠な呼び出しとその所有者を特定する。
  • 期限、エラー、安全な再試行、および目に見える劣化を計画する。
  • 障害、復旧、およびインシデント対応のリハーサルを行う。
  • インターフェースを変更する前に、実際の応答を文書化された契約と比較する。
  • 各GraphQLオブジェクトとフィールドの権限をテストし、ネスト、リスト、およびエイリアスを実際のコストでバインドする。
  • 受信した通知を、障害発生後も回復可能な、一意で追跡可能なビジネス効果に変換する。
  • 共有キャッシュ、プライベートキャッシュ、アプリケーションキャッシュを分離し、アクセス権限変更後にキー、再検証、無効化を検査します。
  • URL取り込みが内部資源への意図しないアクセスを生む場合があります。
  • 制限は容量、再試行、利用者間の配分に影響します。
  • 変動するデータは出力の欠落や重複を生む場合があります。
  • 受け取ったファイルは公開や処理の前に検証します。
  • 共有キャッシュは公開内容と個人向け応答を分離します。
  • 要求の受理は処理の完了を証明しません。
  • 生成、受信、利用可能なイベントを分け、記録の静けさを障害がない証拠としません。
  • iframeやポップアップの通信契約で想定外の送信者とデータを拒否します。
  • 展開したファイルを公開する前にパス、リンク、展開量を検証します。
  • 更新をTLS終端とクライアントまで追跡してから変更を完了します。
役立つ質問
  • プロバイダが応答しなくなった場合、どうなりますか？
  • 再試行でアクションを繰り返すことはできますか？
  • リカバリが機能していることを示す証拠は何ですか？
  • 新しいバージョンはどの既存クライアントに影響を与えますか？
  • 親が許可された後、リゾルバはプライベートフィールドを返すことができますか？
  • どのバイトが署名されているか？
  • キャッシュなしとは、何も保持されないという意味でしょうか？
  • 最初のURLだけを確認すれば十分ですか？
  • 429は以前の書き込みが未実行だった証拠ですか？
  • 期待した行数ならエクスポートは完全ですか？
  • 許可された拡張子なら安全ですか。
  • Cookieがあれば共有キャッシュを防げますか？
  • 202は将来の完了を証明する？
  • 三行受信したら三イベントを保持した証拠ですか？
  • event.origin確認だけで十分ですか？
  • 小さなアーカイブやフィルターは安全を保証しますか？
  • ACME更新成功だけで完了できますか？

具体的な判断例

状況
架空の例です。顧客や実際の観測結果を示すデータではありません。 二つの読み出しは高速ですが、一方は元データの変更後も古い在庫状況を表示しています。
確認
値、版、読み出し場所、変更後の経過時間を比較し、システムの契約に沿って無効化、期限切れ、元データへのアクセスを試験します。
実行
用途ごとに許容できる古さを定め、差異を監視します。遅延が短いだけでは、配信データの整合性は証明できません。

APIキャッシュ：鮮度、分離、整合性を管理する

HTTPキャッシング：パーソナライズされた応答の保護

IETF — RFC 9111, HTTP Caching

受信者と権限を確認してください。

署名付きトークンは、オブジェクト操作を自動的に承認するものではありません。 発行者、対象者、有効期限、クロスアカウントアクセスをテストし、成功ケースに加えて想定される拒否ケースも追加してください。

トークンは、別のAPIまたはロールに対して有効ですか？または、実際に拒否されていますか？

方法を調べる

データを読み、判断する

API再試行：経路全体の時間を数える

4回の試行には3回の再試行が含まれます。

総試行数
41 + 3
待機合計（ms）
700100 + 200 + 400
モデルの予算（ms）
17004 × 250 + 700

架空の学習用事例です。数値はCIEや顧客の実績ではありません。

再試行の時間予算を試す

n × T + W × (2^(n−1) − 1)

判断に役立つ問い

この分野の記事で、答えや実践的な確認事項を探せます。

過去の記事を読む

以下の最新記事に加え、この分野の過去の記事もご覧ください。

MOVEit Transfer：コンテンツとスクリプトを分離する

MOVEit Transfer：クロスサイトスクリプティング（XSS）。2026-07-11の事例として、CERTFR-2026-AVI-0856に基づく1件のバージョン記載と3件のCVE、対象バージョン、実行基盤に適した検証を整理します。

公開 更新

ビジネス効率を高める：Zapier・Make・n8nによるオートメーションAPIとワークフロー接続の実践

デジタル化の進展とともに、多様な業務アプリケーションの連携と自動化は、企業の競争力を左右する重要な要素となっています。「Zapier」「Make（旧Integromat）」「n8n」といったオートメーションAPIプラットフォームが注目される理由です。本記事では、それぞれのサービスの特長やAPI連携の仕組み、そして実際のワークフロー自動化設計について、具体的かつ実践的に解説しま…

公開 更新

Stripe APIを活用したグローバルな定期課金・多通貨決済の管理方法

デジタルビジネスの成長とともに、サブスクリプション型ビジネスや国際的な取引のニーズは急速に高まっています。その中で、多くの企業が注目しているのが「Stripe API」です。Stripe APIは、定期課金や多通貨決済の管理を容易にし、効率的で安全性の高いオンライン決済環境の構築を可能にします。本記事では、Stripe…

公開 更新

IBM：コンテンツとスクリプトを分離する

IBM：クロスサイトスクリプティング（XSS）。2026-05-02の事例として、CERTFR-2026-AVI-0523に基づく7件のバージョン記載と27件のCVE、対象バージョン、実行基盤に適した検証を整理します。

公開 更新

一次資料

これらの手法や規格を策定した組織が公開する資料です。