APIエンドポイント・パラメータ安全チェッカー
A2B攻撃（App-to-Backend攻撃）では、公開アプリの解析で見つかったAPIエンドポイントやパラメータ構造が、 そのままサーバー攻撃の手がかりになります。APIのルーティング定義やエンドポイント一覧を貼り付けると、 狙われやすい設計を自動チェックします。
左側にAPIエンドポイント一覧を入力すると、ここに判定結果が表示されます。
シェアする：
.png){kind=icon}
概要
APIのルーティング定義やエンドポイント一覧を貼り付けるだけで、A2B攻撃（アプリ解析経由のバックエンド攻撃）で 狙われやすい設定（デバッグ・管理系エンドポインの露出、推測しやすい連番ID、URLへのキー混入など）を自動診断するツールです。
※チェック処理はJavaScriptのみで行っています。サーバーに送信せず、ブラウザ内で完結しますので、未公開のAPI仕様を貼り付けても安全です。
実務での活用例
社内SE・バックエンド開発者の現場では、API設計レビューやセキュリティ診断の初期チェックで、 危険なエンドポイント設計を見落としがちです。
💡 API設計レビュー
状況: 新規APIのルーティング定義をレビューし、公開前にリスクを洗い出したい
活用方法: OpenAPI仕様書やルーター定義からエンドポイント一覧を抜き出して貼り付け
期待効果: IDORやデバッグエンドポイントの露出といった典型的な見落としを防止
💡 モバイルアプリ解析結果の棚卸し
状況: 自社Androidアプリを解析し、抽出できたAPIエンドポイント一覧の危険度を評価したい
活用方法: 解析で得られたエンドポイントをそのまま貼り付けてチェック
期待効果: 攻撃者視点での露出面の把握、対策の優先順位付け
💡 外部委託API仕様の受け入れ検査
状況: 委託開発されたAPI仕様書を受け取り、公開前にセキュリティ観点で確認したい
活用方法: 受領したエンドポイント一覧を貼り付け、危険な設計が残っていないか即座に確認
期待効果: 納品前チェックの効率化、監査証跡としてチェック結果をコピーして保存
詳しい使い方
主な機能
- リアルタイム診断 - 入力するたびに自動でチェックが実行されます
- 7項目の危険設計チェック - デバッグ/管理系露出・連番ID・APIキー混入・パストラバーサル・平文通信・内部IP露出・GraphQLを検査
- 危険度の色分け表示 - 🚨危険／⚠️注意／ℹ️情報の3段階で一目で把握できる
- 結果のコピー - チェック結果をテキストでコピーし、レビュー記録や報告に利用可能
使い方の手順
- APIのルーティング定義やOpenAPI仕様、エンドポイント一覧をコピーする
- 左側のテキストエリアに1行1エンドポイントの形式で貼り付ける（自動でチェックが始まります）
- 右側に表示される判定結果（危険・注意・情報）を確認する
- 検出された項目を1つずつ修正する
- 必要に応じて「結果をコピー」で診断結果を保存・共有する
💡 チェック対象の設計項目
- debug / admin / internal / console / actuator / swagger / .env などのパスの露出
- パスに直接含まれる推測しやすい連番ID（IDOR: Insecure Direct Object Referenceのリスク）
- クエリパラメータに含まれるAPIキー・トークン・パスワードらしき値
- file / path / filename パラメータ（パストラバーサルのリスク）
- HTTP（非HTTPS）での通信
- 内部IPアドレス（プライベートIP）の露出
- GraphQLエンドポイント（イントロスペクション設定の確認推奨）
技術仕様とセキュリティ
すべての判定処理がブラウザ内の正規表現マッチングで行われ、入力内容はサーバーに送信されません。未公開のAPI仕様やキー情報を貼り付けても外部に漏れません。
本ツールはテキストパターンに基づく簡易チェックです。実際のAPIセキュリティ診断では、認可制御の実装確認やペネトレーションテストも併用してください。
Chrome、Firefox、Safari、Edgeなど主要なモダンブラウザに対応しています。
登録不要で完全無料でご利用いただけます。