スマートフォンアプリやSPA（画面遷移を伴わない単一ページ型のWebアプリ）、マイクロサービスへの移行が進み、システムの機能はAPI（アプリケーション間でデータをやり取りする接続口）として外部に公開される場面が増えています。画面を操作して調べる従来のWebアプリケーション脆弱性診断だけで、自社のAPIに潜むリスクまで拾えているのか、不安を感じていないでしょうか。
APIには、画面からはたどり着けないエンドポイントや、利用者本人以外のデータを操作できてしまう認可の欠陥など、API固有の弱点があります。しかし、どのサービスがどこまでAPIを診断してくれるのか、費用はいくらか、ツールと専門家による手動でどう違うのかが分かりにくく、比較検討で行き詰まりがちです。
本記事では、APIの脆弱性診断に対応する主要サービスを比較・解説します。診断手法（ツール・手動・ハイブリッド）や費用の考え方に加え、国際的な指針であるOWASP API Security Top 10を踏まえた診断の観点まで整理しました。自社のAPIに合う診断サービスを見つけるための検討材料としてご活用ください。
また、自社の状況に合わせて適したサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」もご用意しています。ぜひこちらもご活用ください。
目次
本記事の対象範囲
本記事では、SPA・マイクロサービス・スマートフォンアプリのバックエンドといった、API単体を診断対象とするサービスを比較します。OWASPも、APIが現代のマイクロサービス構成やSPA、モバイルアプリで重要な役割を担うと位置づけており、こうしたAPIの弱点は画面ベースの診断とは別の観点で確認する必要があります。
Webサイトやネットワーク機器を含む脆弱性診断全般を比較したい場合は、診断対象を絞り込まない全体の比較記事もあわせてご覧ください。ここからは、APIの診断に的を絞って解説します。
API脆弱性診断とは？なぜWebアプリ診断だけでは不十分なのか
ここからは、APIの脆弱性診断がどのようなもので、従来のWebアプリケーション診断と何が違うのかを整理します。
API脆弱性診断とは
API脆弱性診断とは、アプリケーション間でデータをやり取りする接続口であるAPIに対して、認証・認可やデータの取り扱いに不備がないかを検査する診断です。診断の対象になるのは、SPAやスマートフォンアプリの裏側で動くバックエンドAPI、そしてマイクロサービス構成で機能ごとに分割されたAPIなどです。
画面を持つWebアプリケーションでは、利用者はブラウザの画面を通じてサーバーとやり取りします。一方、APIはリクエストとレスポンスという形式で直接データを送受信するため、検査の入り口も、想定すべき攻撃の手口も画面ベースの診断とは異なります。
Webアプリ診断との違い（画面からは到達しない領域）
従来のWebアプリケーション診断は、画面を巡回しながらリンクや入力欄をたどって検査を進めるものが中心です。この方式では、画面上の導線からたどり着けるページや機能はカバーできます。しかし、APIには画面の導線からは見えない領域が残ります。
たとえば、画面には表示されないものの外部から呼び出せるエンドポイントや、リクエストのパラメータを書き換えることで初めて到達する処理です。OWASPも、APIは従来のWebアプリケーションより多くのエンドポイントを公開しがちで、そのぶん適切な管理が重要になると指摘しています。画面をたどる診断だけでは、こうした管理から漏れたエンドポイントを検査対象に含めきれない場合があります。
さらに重要なのが、認可（誰がどのデータや機能にアクセスしてよいか）の欠陥です。次の章で詳しく触れますが、こうした欠陥は正規の利用者による正当なリクエストと見た目が変わらないため、画面をたどる自動巡回では正常か不正かを機械的に判別しにくいという性質があります。Webアプリ診断で問題が見つからなくても、API側にリスクが残ることがあるのはこのためです。
なぜ今、API単体の診断が必要なのか
SPAやスマートフォンアプリでは、画面の描画をブラウザやアプリ側が担い、データの処理はすべてバックエンドAPIが引き受ける構成が一般的になりました。マイクロサービス化が進めば、社内外の機能連携もAPIを介して行われます。結果として、事業の中核となるデータや処理がAPIを通じて外部からアクセス可能な状態に置かれます。
APIが事業の入り口になるほど、そこに認可やデータ取り扱いの不備があれば、情報漏えいやデータ改ざんに直結します。既存のWebアプリ診断では自社APIのリスクが拾いきれていないのではないか、という懸念は的外れではなく、API単体を対象にした診断を検討する十分な理由があります。
なお、スマートフォンアプリを提供している場合は、バックエンドのAPIとは別に、アプリ本体（クライアント側）にもアプリ内に保存したデータや通信の保護といった固有の弱点があります。アプリ側の診断項目やWebアプリ診断との違いは、以下の記事で解説しています。
OWASP API Security Top 10で押さえる、自動スキャンで拾いにくい認可欠陥
APIに特有の弱点を体系的に示した国際的な指針が、OWASP API Security Top 10です。ここでは、その全体像と、とくに注意すべき認可欠陥を解説します。
OWASP API Security Top 10（2023年版）の全体像
OWASP API Security Top 10は、非営利団体OWASPがAPIに固有のセキュリティリスクをまとめた文書で、2023年版が最新です。多くの診断サービスが、この10項目を診断の観点の土台にしています。10項目の正式名称は次のとおりです。
API1:2023 – Broken Object Level Authorization
出典：OWASP API Security Top 10 2023｜OWASP Foundation
API2:2023 – Broken Authentication
API3:2023 – Broken Object Property Level Authorization
API4:2023 – Unrestricted Resource Consumption
API5:2023 – Broken Function Level Authorization
API6:2023 – Unrestricted Access to Sensitive Business Flows
API7:2023 – Server Side Request Forgery
API8:2023 – Security Misconfiguration
API9:2023 – Improper Inventory Management
API10:2023 – Unsafe Consumption of APIs
各項目の概要を整理すると次のようになります。上位に認可（Authorization）に関する項目が並ぶのが、APIのリスクの特徴です。
| API1 オブジェクトレベル認可の不備（BOLA） | API2 認証の不備 | API3 オブジェクトプロパティレベル認可の不備（BOPLA） | API4 リソース消費の制限不備 | API5 機能レベル認可の不備（BFLA） | API6 重要な業務フローへの無制限アクセス | API7 サーバーサイドリクエストフォージェリ（SSRF） | API8 セキュリティ設定の不備 | API9 資産管理の不備 | API10 APIの安全でない利用 | |
|---|---|---|---|---|---|---|---|---|---|---|
| 概要 | リクエスト内のIDを書き換えて、本来アクセス権のない他人のデータを取得・操作できる欠陥 | 認証の仕組みが不十分で、なりすましやトークンの不正利用を許す欠陥 | 本来返すべきでない項目まで応答したり、更新すべきでない項目を書き換えられたりする欠陥（旧・過剰なデータ返却／Mass Assignmentを統合） | レート制限などが不十分で、大量リクエストによる過負荷を許す欠陥 | 一般利用者が管理者向けなど権限外の機能を呼び出せる欠陥 | 購入や予約などの業務フローが自動化・悪用されることを想定していない欠陥 | APIに任意のURLを取得させ、内部システムへアクセスさせられる欠陥 | 設定の不備や不要な機能の露出によりリスクが生じる欠陥 | 古いバージョンや管理から漏れたエンドポイントが放置される欠陥 | 連携先の外部APIを無条件に信頼し、そこ経由で被害を受ける欠陥 |
2023年版では、2019年版から項目の見直しが行われました。旧版で別々だった「過剰なデータ返却」と「Mass Assignment」は、共通の原因であるオブジェクトプロパティレベルの認可検証の失敗に着目してAPI3へ統合されています。以前にOWASP対応を済ませていても、最新版の観点で見直す価値があります。
BOLA・BFLAなどの認可欠陥（他人のデータが取れてしまう）
10項目の中でも、APIで最も頻繁に問題になるのが認可の欠陥です。代表がAPI1のBOLA（オブジェクトレベル認可の不備）で、リクエストに含まれるオブジェクトのIDを書き換えることで、本来アクセスできないはずの他人のデータへ到達できてしまう欠陥です。OWASPは、この問題について次のように説明しています。
In the case of BOLA, it’s by design that the user will have access to the vulnerable API endpoint/function. The violation happens at the object level, by manipulating the ID.
出典：OWASP API Security Top 10 2023, API1:2023 Broken Object Level Authorization｜OWASP Foundation
ここで重要なのは、その利用者がAPIのエンドポイントを呼び出すこと自体は正規の権限内であり、違反はIDを操作したオブジェクト単位で起こる、という点です。つまり、リクエストは正規の利用者による正当な形をとります。管理者向けの機能を一般利用者が呼び出せてしまうAPI5のBFLA（機能レベル認可の不備）も、正規の形式のAPIコールで権限外の機能へ到達する欠陥です。
リクエストの形が正常に見えるということは、「誰がどのデータを所有すべきか」という業務上の正しい関係を知らないツールでは、正常なアクセスと不正なアクセスを機械的に判別しにくいことを意味します。
認可欠陥の検出に専門家による手動の検証が重要とされるのはこのためで、多くの診断サービスも同様の見解を示しています。ツールによる網羅的なスキャンと、業務ロジックを理解した人による検証を、どう組み合わせるかが診断選びの分かれ目になります。
過剰なデータ返却・リソース制限の不備・管理から漏れたエンドポイント
認可欠陥のほかにも、API固有の観点があります。1つ目は、応答に含めるデータの範囲です。API3のBOPLAは、本来利用者に見せるべきでない項目まで応答に含めてしまったり、更新すべきでない項目を書き換えられたりする欠陥を指します。画面には表示していなくても、APIの応答データ自体に余分な情報が含まれていれば、そこから情報が漏れます。
2つ目は、リクエスト量に対する制限です。API4のリソース消費の制限不備は、レート制限などが不十分な状態で、大量のリクエストによって過負荷や情報の総当たり取得を許す欠陥です。3つ目が、管理から漏れたエンドポイントです。
OWASPは、APIが従来のWebアプリより多くのエンドポイントを公開しがちだと指摘しており、古いバージョンやドキュメント化されていないエンドポイントが放置されると、そこが攻撃の入り口になります。これらはいずれも、画面をたどるだけの診断では見落とされやすい領域です。
出典・参考資料（2件）
- 出典：OWASP API Security Top 10 2023｜OWASP Foundation（https://owasp.org/API-Security/editions/2023/en/0x11-t10/）
- 出典：API1:2023 Broken Object Level Authorization｜OWASP Foundation（https://owasp.org/API-Security/editions/2023/en/0xa1-broken-object-level-authorization/）
こうした管理から漏れたエンドポイントや、そもそも自社にどれだけ外部公開された資産があるかを継続的に把握する手法として、ASM（アタックサーフェスマネジメント）があります。脆弱性診断との違いや、どちらから始めるべきかは以下の記事で解説しています。
API脆弱性診断の3つの手法（ツール・手動・ハイブリッド）と使い分け
API脆弱性診断は、検査の進め方によって大きく3つの手法に分かれます。それぞれ得意な領域と向いている企業が異なるため、自社の状況に合う手法を押さえておくことが選定の土台になります。
ツール（SaaS自動）型診断
ツール型診断は、自動スキャンによってAPIを検査する手法です。クラウド上のサービスとして提供されることが多く、開発の工程に組み込んで繰り返し実行しやすいのが特徴です。広い範囲を短時間かつ比較的低コストで検査できるため、リリース前のチェックや継続的な診断を内製で回したい企業に適しています。
一方で、前章で触れたような業務ロジックに依存する認可欠陥は、正常なリクエストと見分けがつきにくく、自動スキャンだけでは検出しきれない領域が残ります。ツール型は網羅的な一次チェックとして位置づけ、深い検証は別の手段で補う発想が現実的です。
専門家（手動）型診断
手動型診断は、セキュリティの専門家が攻撃者の視点でAPIを検査する手法です。IDを書き換えて他人のデータに到達できないか、権限のない機能を呼び出せないかといった、業務上の正しい認可関係を理解したうえで初めて確認できる欠陥を検証できます。複数の権限が絡む複雑な業務フローや、決済・個人情報を扱う重要なAPIに強みがあります。
そのぶん、診断には専門家の稼働が必要になるため、費用と期間はツール型より大きくなる傾向があります。継続的に何度も回すよりは、重要なAPIのリリース時や大きな改修時など、要所での実施に向いています。
ハイブリッド型診断
ハイブリッド型診断は、ツールによる網羅的な一次スクリーニングと、専門家による業務ロジックの重点検証を組み合わせた手法です。ツールで広く洗い出したうえで、認可欠陥のように機械では判別しにくい部分を人が確認するため、網羅性と深さのバランスが取りやすいのが特徴です。
コストと精度の折り合いをつけたい企業や、一定の範囲を確実に押さえつつ重要な部分は深く見たいという要件に適しています。多くの診断ベンダーが、対象や予算に応じてこの組み合わせを提案しています。
診断対象になるAPI形式（REST／GraphQL／gRPC）と診断範囲
APIにはいくつかの通信形式があり、診断サービスによって対応範囲が異なります。自社のAPIがどの形式かを確認し、それに対応できるサービスを選ぶことが実務上の前提になります。
最も広く使われているのがREST APIで、多くの診断サービスが標準で対応します。近年はGraphQL（1回のリクエストで必要なデータをまとめて取得できる形式）や、マイクロサービス間の通信で使われるgRPCを採用するケースも増えていますが、これらは診断サービスによって対応可否が分かれます。GraphQLやgRPCを利用している場合は、対応可否を見積もり段階で確認することが欠かせません。
診断範囲についても、APIの仕様書（OpenAPI／Swaggerなど）を読み込んでエンドポイントを洗い出せるか、認証が必要なAPIに対して認証済みの状態で検査できるかといった点が、カバーできる深さを左右します。診断の対象と範囲は、次の比較表でもサービスごとに整理します。
API脆弱性診断を実施すべきタイミング
API脆弱性診断は、一度実施すれば終わりというものではありません。次のような節目で実施を検討すると、リスクを抱えたまま運用を続ける事態を避けやすくなります。
まず、新しいAPIやそれを利用するアプリケーションのリリース前です。公開前に検査することで、認可欠陥などを本番稼働前に修正できます。次に、既存APIの仕様変更や大きな改修を行ったときです。エンドポイントの追加や認証方式の変更は、新たな欠陥が入り込む契機になります。
外部の事業者とAPI連携を開始するときも、連携によって新たにデータが行き交うため確認が必要です。加えて、取引先や監査から求められる場合や、セキュリティ体制を対外的に示したい場合にも、第三者による診断が根拠になります。継続的に運用するAPIでは、定期的な再診断を計画に組み込む考え方が有効です。
API脆弱性診断の費用相場と料金を左右する要因
費用は選定で気になる点ですが、API脆弱性診断は各社とも個別見積もりを前提とする場合が多く、一律の相場を示しにくい領域です。ここでは、手法ごとのおおまかな傾向と、料金が上下する要因を整理します。
費用相場の目安（手法別）
あくまで一般的な傾向ですが、ツール型は月額や年額のサブスクリプションで提供されることが多く、繰り返し実行しても費用が膨らみにくいのが特徴です。手動型は専門家の稼働に応じて費用が決まるため、対象範囲が広がるほど高くなり、大規模なAPIでは相応の金額になります。ハイブリッド型は両者の中間に位置づけられます。
桁感の目安として、各社が公開している料金を見ると、ツール型は月額2万円前後から、年額では数十万円規模で利用できるものがあります。手動型は個別見積もりが基本で、対象範囲が広い診断では数百万円規模になる場合もあります。
ただし、同じ手法でも対象の規模や検査の深さによって金額は大きく変わります。実際の費用は、各サービスの料金体系を後述の比較表と個別紹介で確認したうえで、自社のAPIを前提に見積もりを取るのが確実です。
料金を左右する要因
見積もりの金額は、主に検査する対象の量と複雑さで決まります。具体的には、診断対象となるエンドポイントの数、認証・認可の仕組みの複雑さ、API仕様書（OpenAPI／Swagger）が整備されているか、GraphQLやgRPCといった特殊な形式を含むか、といった要因です。
とくにエンドポイント数は、手動型・ハイブリッド型で費用に直結します。仕様書が整っていれば診断側が対象を把握しやすく、逆に仕様書がない場合は調査の手間が増えて費用が上がることがあります。見積もりを取る前に自社のAPIのエンドポイント数や仕様書の有無を把握しておくと、各社の金額を比較しやすくなります。
費用は手法やサービスによって幅があり、自社にどの手法・どのサービスが合うかを金額だけで見極めるのは難しいものです。次の選定診断ツールでは、いくつかの質問に答えるだけで、自社の状況に近いサービスの候補を絞り込めます。
【比較表】API脆弱性診断サービスを比較
ここからは、自社の課題や要件に合わせて客観的に比較・選定できるよう、API脆弱性診断に対応する主要サービスを、診断手法・対応するAPI形式・料金体系・情報セキュリティサービス基準への登録の有無といった観点で横並びに整理します。
| サービス名 | AeyeScan | Securify | VAddy | NRIセキュア | ラック | セキュアサイクル | S&J | Vex | SQAT | Cloudbric | GMOイエラエ | SecureHatters |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 診断手法 | ツール型（自動診断） | ツール型（自動診断） | ツール型（自動診断） | 手動型（一部ツール併用） | 手動型（一部ツール併用） | 手動型（自動ツール併用） | 手動型（専門家診断） | ハイブリッド（ツール主体） | ハイブリッド（手動主体） | ハイブリッド（手動主体） | ハイブリッド（手動＋ASM） | ハイブリッド（ツール主体） |
| 対応API形式・診断範囲 | APIスキャン（オプション機能） | API診断機能あり （2023年提供開始） | REST API（JSON）対応 認証付きスキャン可 | APIセキュリティ診断 ・設計レビュー | ペネトレ等で対応 （形式は要問い合わせ） | スマホ/SPAの バックエンドAPI （形式は要問い合わせ） | API診断メニューあり （形式は要問い合わせ） | OpenAPI/Swagger読込 でREST APIを自動診断 | API脆弱性診断 メニューあり | API診断メニューあり | 手動診断でAPIに対応 （API数で見積り） | Web API診断 WebSocket/Protobuf/MQTT対応 |
| 料金体系 | 要問い合わせ | 月額5万円〜 （Webアプリ診断・年額60万円） | 月額19,800円〜 （初期費用0円） | 要問い合わせ （ペネトレは800万円〜） | 要問い合わせ | 要問い合わせ | 要問い合わせ | 要問い合わせ （年間ライセンス制） | 要問い合わせ | 要問い合わせ | 要問い合わせ （継続監視ASMは月額4万円〜） | 要問い合わせ |
| 情報セキュリティサービス基準登録 | — | — | — | — | — | ●（021-0004-20） | ●（018-0045-20） | — | — | ●（021-0017-20） | — | ●（025-0012-20） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式サイト | 公式サイト | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式サイト |
※各社の公式情報（2026年7月時点）にもとづく整理です。「診断手法」は各社が主体とする方式を示します。「要問い合わせ」は非公開または個別見積り、「情報セキュリティサービス基準登録」の「—」は登録を確認できなかったことを示し、非対応の意味ではありません。実際の対応可否は各社情報をご確認ください。
API脆弱性診断サービスの個別紹介
ここからは、各サービスの特徴を診断手法のタイプ別に紹介します。自社のAPIの状況と照らし合わせながら、候補を絞り込む参考にしてください。
ツール（SaaS自動）型診断
開発工程に組み込んで繰り返し検査したい、内製で継続的に診断を回したいという企業に向くタイプです。
1. AeyeScan（株式会社エーアイセキュリティラボ）
AeyeScanは、AIとRPAによる自動クローリングを用いて診断シナリオを自動生成する、株式会社エーアイセキュリティラボのクラウド型脆弱性診断ツールです。ブラウザのログイン操作だけで診断を始められ、専門知識がなくても脆弱性診断を内製化できる点を訴求しています。
診断対象はWebアプリケーションやSPAが中心で、APIの検査はオプションのAPIスキャン機能として提供されます。このAPIスキャンは、OWASP API Security Top 10（2023年版）のうち外部から検出可能な項目に対応するとされています。
診断はOWASP Top 10やIPA、ASVS 5.0のガイドラインに沿って行われ、CI/CDパイプラインへの組み込みにも対応します。料金はスポット向けのOne Shot（15日・1サイト）、1年間・サイト数無制限のBusiness、個別見積もりのカスタムが用意され、無料トライアルも申し込めます。有償契約300社以上の導入実績があります。
2. Securify（株式会社スリーシェイク）
Securifyは、自動巡回スキャン（DAST）による脆弱性診断を中核に、攻撃対象領域を把握するASMやWordPress診断などを束ねた株式会社スリーシェイクのSaaS型プラットフォームです。対象を登録すると自動で脆弱性を検査し、日次・週次・月次と頻度を設定して継続的に診断を回せます。
Webアプリケーション診断を中核に据えつつ、APIに対する診断機能を2023年4月から提供しており、SQLインジェクションやクロスサイトスクリプティングといった項目を検査します。ASMではインターネットに公開された資産を自動で把握し、発見した資産に対して脆弱性診断を実行します。
Webアプリケーション診断はSTARTERプランが月額5万円（年額60万円、診断対象1IP/FQDN・診断回数無制限）から利用でき、基本機能の無料提供や最短即日の無料トライアルも用意されています。標準契約は12か月の年間契約で、サポートはメールで平日10時から18時に対応します。
3. VAddy（株式会社ビットフォレスト）
開発工程への組み込みを前提に設計された、株式会社ビットフォレストのクラウド型脆弱性診断ツールがVAddyです。CI/CDパイプラインに組み込んでリリース前に繰り返し自動スキャンを実行でき、料金はProfessional（月額19,800円）からの3プラン、初期費用は0円です。
Webアプリケーションに加え、REST APIサーバー単体の検査にも対応します。フロントエンドを介さないAPIの検査では、プロキシ経由でGET・POST・PUT・DELETEの各リクエストを記録してクロール情報を事前登録し、Content-typeがapplication/jsonのリクエストではJSONペイロード内のパラメータもスキャン対象に含めます。
ログインが必要なアプリケーションは、記録済みのログイン情報を使って自動ログインしながら検査できますが、多要素認証やCAPTCHAが有効な場合は原則としてログインできません。準拠を掲げるのはWebアプリケーション向けのOWASP Top 10（2021年版）で、プラン別の診断項目数は5・11・18項目、1週間の無料トライアルも利用できます。
専門家（手動）型診断
決済・個人情報・複数権限が絡む重要なAPIを、業務ロジックまで踏み込んで深く検証したい企業に向くタイプです。
4. APIセキュリティ診断・設計レビュー（NRIセキュアテクノロジーズ株式会社）
野村総合研究所グループのセキュリティ専業会社であるNRIセキュアテクノロジーズが提供する、専門家による手動診断を主体としたセキュリティ診断・ペネトレーションテストサービス群です。診断メニューにはWebアプリケーションやプラットフォームに加え、APIセキュリティ診断・設計レビューが含まれます。
Webアプリケーション診断では、専門家が手作業のみで実施するプロフェッショナル方式と、手作業を主体にツールを補助的に併用するハイブリッド方式の2方式を用意しています。診断はSANS Instituteのトレーニング修了者や、CISSP・OSCP・GIACなどの資格保有者が担当します。
料金は診断対象ごとの個別見積りで、ペネトレーションテストサービスは800万円〜（税別）が公式に示されています。API診断など個別メニューの費用は公開されていないため、要問い合わせとなります。
5. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックの脆弱性診断は、熟練エンジニアによる手動診断を主体とした診断サービスです。Webアプリケーションやプラットフォーム、スマートフォンアプリ、クラウド設定など幅広い対象に対応します。APIについては、アプリケーションペネトレーションテストの一環として診断対象に含め、見積もりの際にAPI数をスコープとして扱います。API専用メニューの有無や対応形式は個別の問い合わせとなります。
ツールでは検出しにくい脆弱性を攻撃者視点の疑似攻撃で洗い出す点に主眼を置き、アプリケーションペネトレーションテストや、金融機関向けにも対応するTLPT（脅威ベースのペネトレーションテスト）まで提供します。セキュリティ監視センターJSOC（2000年5月設置）を中核に、監視・緊急対応・コンサルティングと診断を組み合わせられる点が特徴です。
料金は診断メニューや対象規模に応じた個別見積りが基本で、公式サイトに具体的な金額は掲載されていません。
6. API脆弱性診断（株式会社セキュアサイクル）
スマートフォンアプリやSPA（シングルページアプリケーション）のバックエンドで使われるAPIを対象に、専門家による手動診断を主体として自動ツール診断を併用するのが、株式会社セキュアサイクルのAPI脆弱性診断です。
主な診断項目は認証・承認・コマンドの実行・情報漏洩・ロジックを狙った攻撃などのカテゴリに分かれ、SQLインジェクションやセッションの固定、不適切な承認といった項目を含みます。経済産業省の情報セキュリティサービス基準に基づく審査登録制度に登録されています（登録番号021-0004-20）。
診断結果のレポートに加え、開発者向けに脆弱性の再現手法をまとめたレポートの2種類を提出し、再診断は一度まで無償で対応します。料金は公式サイトに記載がなく、要お問い合わせとなります。
7. API診断（S&J株式会社）
サイバーセキュリティ専業のS&J株式会社が、複数の診断メニューの一つとして提供するAPI診断です。自動ツールでは検知できないリスクを専門家が特定し、対処方法を助言する診断を掲げています。
主な診断項目例として、認証・承認・コマンドの実行・情報漏えい・ロジックを狙った攻撃などの区分ごとに、SQLインジェクションやクロスサイトスクリプティング、パストラバーサルといった項目が公開されています。危険度が中程度以上の脆弱性が検出された場合は、速報としてメールで報告されます。
API診断・Webアプリケーション診断は、経済産業省の情報セキュリティサービス基準適合サービスリストに登録されています（登録番号018-0045-20）。料金は公式サイトに掲載がなく、要問い合わせとなります。
ハイブリッド型診断
ツールによる網羅性と専門家による深さのバランスを取りたい企業に向くタイプです。
8. Vex（株式会社ユービーセキュア）
株式会社ユービーセキュアが2007年から開発を続けるWebアプリケーション向けの脆弱性検査ツールです。対象URLに疑似的な攻撃リクエストを送ってレスポンスを解析するDAST方式を基盤に、2026年4月にクラウド版とパッケージ版のブランドを「Vex」へ統合し、3プラン構成へ刷新しました。
API診断ではOpenAPIやSwaggerの定義ファイルを読み込み、エンドポイントを自動認識して検査します。自動クローリングによるスキャンに加え、ログイン後のページや複数ステップの画面遷移を記録して再現するシナリオ診断を備え、ツールによる自動診断と手動操作を組み合わせて診断できます。
レポートはOWASP TOP10やPCI DSSなどの基準に沿った形式で自動生成でき、出力は日英に対応します。料金は年間ライセンスのプラン制で、金額は公式サイトに掲載がなく要問い合わせです。無料トライアルが用意されています。
9. SQAT（株式会社ブロードバンドセキュリティ）
2000年創業のセキュリティ専業企業である株式会社ブロードバンドセキュリティが提供する脆弱性診断ブランドがSQATです。精度の高い手動診断と独自開発の自動診断を組み合わせるハイブリッド方式を採り、Webアプリケーションやネットワーク、スマホアプリなどと並んでAPI脆弱性診断をメニューに用意しています。
外部からの挙動を検証するブラックボックステストと、ソースコードなど内部を検証するホワイトボックステストを組み合わせた「SQAT GlassBox」など、対象に応じた診断メニューがそろいます。診断終了後3か月以内の再診断に対応し、期間内は相談も受け付けます。
脆弱性診断サービスのすべてにサイバー保険が付帯します。料金は公式サイトに掲載がなく、診断内容に応じた個別見積りで、要お問い合わせとなります。
10. Cloudbric脆弱性診断（ペンタセキュリティ株式会社）
WAF製品などで知られるペンタセキュリティ株式会社が運営するセキュリティ診断サービスです。専門家による手動診断と自動診断ツール（OWASP ZAP）を組み合わせたハイブリッド方式で、WebサイトやWebアプリケーション、APIなど6種類の診断メニューを提供しています。
同社が世界各国から独自に収集する脅威インテリジェンスの分析に基づいて診断項目を組み立てている点を訴求しています。事前確認から診断実行、最終レビュー、品質保証、納品までの多段階の品質管理プロセスを設けています。
経済産業省の情報セキュリティサービス基準適合サービスリストに登録されています（登録番号021-0017-20）。料金は公式サイトに掲載がなく、要問い合わせとなります。
11. 脆弱性診断・ペネトレーションテスト（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエ株式会社は、国内のホワイトハッカーを多数擁するサイバーセキュリティ専門企業です。専門家による手動主体の脆弱性診断・ペネトレーションテストと、月額課金で継続的に攻撃面を監視するツール型のASM「GMOサイバー攻撃ネットde診断 ASM」を併せ持ちます。
Webのペネトレーションテストは手動検査を中心に据え、擬似攻撃でリスクを可視化するシナリオ型と、観点を絞らず問題点を洗い出す調査型の2方式を用意しています。診断対象はWeb・スマホアプリ・クラウド・ネットワークに加え、NFT・ブロックチェーンやLLM／AIエージェントまで幅広く対応します。
手動診断の料金は画面数やAPI数、攻撃シナリオに応じた個別見積りです。継続診断のネットde診断 ASMは、自走プランが月額40,000円から、伴走プランが月額120,000円から（初期費用0円・最低2か月〜）で利用できます。
12. SecureHatters（株式会社ディーゴ）
株式会社ディーゴがセキュリティ診断ブランド「SecureHatters」として提供する診断メニューの一つがWeb API診断です。業界標準のツールによる自動診断をベースに、CTFで入賞実績を持つエンジニアが攻撃者を模した手動診断を行うハイブリッド方式で実施します。
ブラックボックス診断を基本方針とし、WebSocket・Protobuf・MQTTといったプロトコルを使う通信にも対応するとしています。精度を犠牲にして自動診断のみに絞る縮小オプションも選べ、脆弱性はCVSS v3.1で評価し、リスクの高いものは報告書の完成を待たずに先行して連絡します。
運営元の株式会社ディーゴは経済産業省の情報セキュリティサービス基準の審査登録を受けており（登録番号025-0012-20）、Web API脆弱性診断も登録種別に含まれます。料金は公式サイトに掲載がなく、要お問い合わせとなります。
API診断サービスの選び方
比較表と個別紹介を踏まえ、自社の状況からどのサービスを選ぶかを判断するための観点を整理します。手法ごとの一般的な特徴は前の章で触れたので、ここでは自社の状況への当てはめと、重要なAPIならではの観点に絞ります。
自社の状況から診断手法を選ぶ
まず、診断をどのくらいの頻度で行いたいかを起点にします。リリースのたびに繰り返し検査したい、開発工程に組み込んで内製で回したいのであれば、繰り返し実行しやすいツール型が起点になります。反対に、決済や個人情報を扱う重要なAPIを確実に検証したいのであれば、認可欠陥まで踏み込める手動型が適します。
網羅性と深さの両方を一定水準で押さえたい場合は、ハイブリッド型が現実的な選択肢になります。判断の分かれ目は、自社に継続的な検査を回す体制があるか、対象のAPIがどれだけ重要かの2点です。
継続的な検査体制があるならツール型を軸に、重要APIの深い検証の比重が大きいなら手動を含む手法を軸に検討すると、候補を絞り込みやすくなります。あわせて、自社のAPIが対応形式や仕様書の整備状況の面で、そのサービスの診断範囲に収まるかも確認しておくとよいでしょう。
決済・個人情報・複数権限を扱う重要API／金融分野で重視する観点
決済や個人情報を扱うAPI、複数の権限が絡む業務フローを持つAPIでは、認可欠陥の検証の深さが選定の中心になります。IDを書き換えて他人のデータに到達できないか、権限のない機能を呼び出せないかといった検証は、業務ロジックを理解した手動の検証が欠かせません。手動やハイブリッドの手法で、どこまで踏み込んで検証するかを確認しておくとよいでしょう。
金融分野では、OAuthやOpenID Connectを金融向けに強化したFAPI（Financial-grade API）などの高度な認可・認証の仕組みを採用することがあります。こうした仕組みの設計や実装まで評価できるかは、対応できるサービスが限られます。
金融・決済のAPIを診断する場合は、この領域の知見を持つサービスかどうかを確認するとよいでしょう。あわせて、第三者に信頼性を示す指標として、経済産業省の基準に基づく情報セキュリティサービス基準への登録の有無も、比較の材料になります。この基準は脆弱性診断サービスを含む5分野を対象に、一定の品質を満たすサービスの台帳を公開する制度です。
出典・参考資料（1件）
- 参考資料：情報セキュリティサービス基準審査登録制度｜情報セキュリティサービス基準審査登録委員会（https://sss-erc.org/）
診断の進め方と見積もり・報告書の確認ポイント
実際に診断を依頼する際の流れと、見積もりや報告書で確認しておきたい点を整理します。事前に準備しておくべき情報を押さえておくと、見積もりの精度が上がり、各社の比較もしやすくなります。
診断の進め方
一般的な流れは、問い合わせと対象範囲のヒアリングから始まります。診断対象のAPIや検査したい範囲を伝え、見積もりを受け取ります。内容に合意したら、診断環境やテスト用のアカウントを準備し、実際の検査へ進みます。検査後は結果をまとめた報告書を受け取り、指摘された問題を修正する、という流れが基本です。
見積もり時に確認すべき項目・準備する情報
見積もりを依頼するときは、診断対象のエンドポイント数、APIの通信形式（REST／GraphQL／gRPC）、認証・認可の方式、API仕様書（OpenAPI／Swagger）の有無をあらかじめ整理しておくと、各社が対象を把握しやすくなります。あわせて、本番環境と検証環境のどちらで診断するか、テスト用アカウントを複数の権限で用意できるかも確認しておきます。
権限の異なる複数のアカウントは、認可欠陥の検証に欠かせません。一般利用者のアカウントで管理者向けの機能や他人のデータに到達できないかを確かめるには、複数の立場でのアクセスを試す必要があるためです。これらの準備が整っているほど、診断の精度と見積もりの正確さが高まります。
報告書の見方と再診断
報告書では、検出された問題の危険度と、その再現手順・修正の方針が示されます。危険度の高い指摘から優先して対応し、修正後に問題が解消したかを確認する再診断まで含めて計画すると、対応の抜け漏れを防げます。再診断が費用に含まれるか、別料金かはサービスによって異なるため、見積もり段階で確認しておくと安心です。
まとめ
APIは、SPAやスマートフォンアプリ、マイクロサービスの中核としてデータや処理を外部に公開します。画面をたどる従来のWebアプリ診断だけでは、管理から漏れたエンドポイントや、リクエストが正常に見える認可欠陥までは拾いきれない場合があり、API単体を対象にした診断が必要になります。
診断手法はツール・手動・ハイブリッドに分かれ、繰り返しの検査を重視するならツール型、重要なAPIの深い検証を重視するなら手動型、その両立を狙うならハイブリッド型が軸になります。費用は対象の規模や仕様書の整備状況で変わるため、自社のAPIを前提に見積もりを取ることが欠かせません。
本記事の比較表と個別紹介を参考に、自社のAPIの形式・規模・重要度に合ったサービスを見つけてください。まずは気になるサービスの資料を取り寄せ、自社の要件に沿った見積もりを比較することから始めてみてください。
よくある質問（FAQ）
Q. API脆弱性診断とは何ですか？
A. API脆弱性診断とは、アプリケーション間でデータをやり取りする接続口であるAPIに対して、認証・認可やデータの取り扱いに不備がないかを検査する診断です。SPAやスマートフォンアプリの裏側で動くバックエンドAPIや、マイクロサービス構成で機能ごとに分割されたAPIなどが対象になります。
リクエストとレスポンスを直接送受信するというAPI特有の性質があるため、画面を操作して調べる従来のWebアプリケーション診断とは想定すべき攻撃の手口が異なります。
Q. API脆弱性診断とWebアプリケーション診断は何が違いますか？
A. API脆弱性診断とWebアプリケーション診断の大きな違いは、画面の導線からは到達しないエンドポイントや認可の欠陥まで検査対象に含める点です。Webアプリ診断は画面を巡回してリンクや入力欄をたどる方式が中心のため、画面に現れないAPIエンドポイントや、リクエストが正常に見える認可欠陥は検証から漏れやすくなります。
API脆弱性診断はAPIそのものを対象に、エンドポイントごとのアクセス制御やデータの返却範囲を確認するため、UIからは見えない内部ロジックまで踏み込めます。
Q. OWASP API Security Top 10とは何ですか？
A. OWASP API Security Top 10とは、非営利団体OWASPがAPIに固有のセキュリティリスクを重大なものから10項目にまとめた国際的な指針で、2023年版が最新です。多くの診断サービスがこの10項目を診断観点の土台にしています。
API1のBOLA（オブジェクトレベル認可の不備）をはじめ、上位に認可に関する項目が並ぶのがAPIリスクの特徴です。2019年版から項目が見直されているため、以前に対応済みでも最新版の観点で見直す価値があります。
Q. API脆弱性診断はツール診断だけでも十分ですか？
A. API脆弱性診断はツール診断だけでは不十分なことが多く、とくにBOLAなどの認可欠陥は専門家による手動の検証が重要です。SQLインジェクションのような既知パターンは自動スキャンで広く検出できますが、IDを書き換えて他人のデータに到達できるといった認可欠陥は、リクエスト自体が正規の利用者による正当な形をとります。
「誰がどのデータを所有すべきか」という業務上の正しい関係を知らないツールでは正常か不正かを機械的に判別しにくいため、重要なAPIや個人情報を扱うAPIでは手動診断やハイブリッド診断の併用を検討することをおすすめします。
Q. API脆弱性診断の費用相場はどのくらいですか？
A. API脆弱性診断の費用は、自動で繰り返せるツール型が比較的抑えやすく、専門家が稼働する手動型は対象範囲が広がるほど高くなる傾向がありますが、各社とも個別見積もりが前提で一律の相場は示しにくいのが実情です。費用は診断対象のエンドポイント数、認証・認可の仕組みの複雑さ、API仕様書の整備状況などによって大きく変わります。
ツール型は月額や年額のサブスクリプション、手動型は稼働に応じた個別見積もりが一般的なため、自社のAPIを前提に複数社の見積もりを比較するのが確実です。
Q. API脆弱性診断の費用が「要問い合わせ」で非公開のことが多いのはなぜですか？
A. API脆弱性診断の費用が「要問い合わせ」となることが多いのは、対象となるAPIの規模や複雑さによって必要な工数が大きく変わり、事前に一律の金額を示しにくいためです。診断対象のエンドポイント数、認証方式、GraphQLなどの特殊な形式を含むか、手動でどこまで深く検証するかによって工数が変動します。
一方で、SaaS型の自動診断ツールでは月額や年額の料金を公開している例もあり、手法によって料金の示し方が異なります。
Q. API脆弱性診断の費用を抑えるにはどうすればよいですか？
A. API脆弱性診断の費用を抑えるには、リスクの高いAPIに対象を絞り込み、診断手法を使い分けることが有効です。決済・個人情報・認証・認可・管理者操作・外部連携などリスクの高いAPIを優先し、それ以外は自動のツール診断を活用するなど手法を組み合わせると、費用対効果を高めやすくなります。また、API仕様書やテスト用アカウントを事前に整理しておくことで、診断準備の工数を抑えられます。
Q. API仕様書がなくてもAPI脆弱性診断はできますか？
A. API仕様書がなくてもAPI脆弱性診断を実施できる場合はありますが、診断の網羅性や効率が下がることがあります。仕様書がないと診断側が通信内容を確認しながらAPIの仕様を推定する必要があり、準備の工数が増えます。OpenAPI／Swaggerなどの仕様書やエンドポイント一覧、利用シナリオを用意できると、診断の精度と見積もりの正確さを高めやすくなります。
Q. API脆弱性診断は本番環境でも実施できますか？
A. API脆弱性診断は本番環境でも実施できる場合がありますが、本番と同等の構成を持つ検証環境やステージング環境での実施が望ましいとされます。やむを得ず本番環境で診断する場合は、負荷の高いテストやデータを更新する操作を避け、実施時間帯を調整する、緊急連絡先を決めておくなど、事前の合意が重要になります。見積もりの段階で、どの環境で診断するかをサービスと確認しておくと安心です。
Q. GraphQLやgRPC形式のAPIも診断できますか？
A. GraphQLやgRPC形式のAPIも診断できますが、対応可否はサービスによって分かれるため、見積もり段階での確認が欠かせません。最も広く使われるREST APIは多くの診断サービスが標準で対応しますが、GraphQLやgRPCを診断できるサービスは限られます。自社のAPIがどの通信形式かを整理したうえで、それに対応できるサービスを選ぶことが実務上の前提になります。
Q. 認証が必要なAPIもAPI脆弱性診断の対象にできますか？
A. BearerトークンやAPIキーを用いた認証が必要なAPIも、認証済みの状態で診断できるサービスが多くあります。認可欠陥の検証には、ログインした状態で他人のデータや権限外の機能に到達できないかを確かめる必要があるため、認証付きの診断に対応しているかは重要な確認点です。
ただし多要素認証やCAPTCHAが有効な場合は自動ツールでのログインが難しいこともあるため、自社の認証方式を伝えて対応可否を確認しておくとよいでしょう。
Q. 社外に公開していない内部APIも診断すべきですか？
A. 社外に公開していない内部APIも、診断を検討する価値があります。内部APIも、SSRF（サーバーに任意のURLへアクセスさせる攻撃）やマイクロサービス間の通信を経由して攻撃される可能性があり、内部不正のリスクも考慮する必要があるためです。
マイクロサービス構成では、まずインターネットに公開されているエンドポイントを優先し、次に決済・個人情報・認証情報を扱うAPIへと診断範囲を広げる進め方が現実的です。
Q. API脆弱性診断の報告書は、開発の修正対応や監査への説明に使えますか？
A. 質の高いAPI脆弱性診断の報告書は、開発チームの修正対応にも、監査や取引先への説明にも活用できます。検出された脆弱性の危険度・再現手順・修正方針が示されていれば、開発側はそれをもとにチケット化して修正を進められます。
また、第三者による診断報告書は、監査やセキュリティチェックシートへの回答で、APIのセキュリティ状態や改善状況を説明する材料になります。外部への提出を想定する場合は、非技術者向けの要約が含まれているかを確認しておくとよいでしょう。
Q. API脆弱性診断のあと、再診断は必要ですか？
A. API脆弱性診断のあとの再診断は推奨されます。脆弱性を修正しても、その修正が正しく機能しているか、新たな不具合が生じていないかを確認する必要があるためです。再診断によって指摘事項が解消されたことを確認でき、法人顧客や監査への説明にも活用しやすくなります。再診断が費用に含まれるか別料金かはサービスによって異なるため、見積もりの段階で確認しておくと安心です。
Q. 情報セキュリティサービス基準への登録は、サービス選びでどう見ればよいですか？
A. 情報セキュリティサービス基準への登録は、経済産業省の定める品質基準を満たすと第三者に確認された証で、サービス選びの信頼指標の一つとして参考にできます。登録の有無は診断品質の目安になりますが、登録がなくても実績や技術力の高いサービスは存在します。登録の有無だけで判断せず、診断手法・対応するAPI形式・実績とあわせて総合的に比較することをおすすめします。
Q. 金融・決済のAPIを診断する場合、確認すべき点はありますか？
A. 金融・決済のAPIを診断する場合は、認可欠陥を深く検証できる手動診断への対応と、FAPIなど金融向けの高度な認証・認可の仕組みを評価できるかを確認するとよいでしょう。決済や個人情報、複数の権限が絡む業務フローを持つAPIでは、業務ロジックを理解した手動の検証が欠かせません。
OAuthやOpenID Connectを金融向けに強化したFAPI（Financial-grade API）の設計や実装まで評価できるサービスは限られるため、この領域の知見を持つサービスかどうかが選定の分かれ目になります。
API脆弱性診断サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、API脆弱性診断に対応するサービスの最新資料をワンクリックで一括入手できます。各社の診断範囲や料金を比較し、自社のAPIに合ったサービスの検討にお役立てください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修者は記事の内容について監修しています。
