SaaS Architecture & Startup Engineering · レッスン

安全なAPI設計とレート制限

入力検証、レート制限、安全なヘッダー、一般的なWeb脆弱性への対策を使って、SaaS APIを悪用や攻撃から守る方法を学びます。

レッスン 4/413 ステップ

「安全なAPI設計とレート制限」はCoddyKit上の無料SaaS Architecture & Startup Engineeringレッスンです。これはレッスン4/4です。下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。これはSaaS Architecture & Startup Engineering学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 SaaS Architecture & Startup Engineeringコースには全4レッスンが含まれています。

このレッスンの一部はまだ翻訳されておらず、英語で表示されています。

APIs as the Attack Surface

For a SaaS product, the API is the front door. Every endpoint is a potential entry point for attackers.

Securing APIs goes beyond login: it covers validation, abuse prevention, and protecting against known attack classes.

Validate All Input

Never trust client input. Validate and sanitize every field: type, length, format, and range.

Reject anything unexpected early, before it reaches business logic or the database.

function validateEmail(input) {
  const ok = /^[^@\s]+@[^@\s]+\.[^@\s]+$/.test(input);
  if (!ok) throw new Error('Invalid email');
  return input.toLowerCase();
}

SQL Injection Defense

SQL injection happens when user input is concatenated into queries. The fix is parameterized queries, which separate code from data.

// Unsafe: 'SELECT * FROM users WHERE name = ' + name
// Safe:
db.query('SELECT * FROM users WHERE name = ?', [name]);

Rate Limiting Basics

Rate limiting caps how many requests a client can make in a window. It protects against brute-force attacks, scraping, and accidental floods.

Limits are usually per API key, per user, or per IP.

Token Bucket Algorithm

A popular rate-limiting method is the token bucket: tokens refill at a fixed rate, each request consumes one, and requests are denied when the bucket is empty.

let tokens = 10;
function allow() {
  if (tokens > 0) { tokens--; return true; }
  return false;
}
// refill periodically: tokens = Math.min(10, tokens + 1)

Returning 429

When a client exceeds the limit, return HTTP status 429 Too Many Requests with a Retry-After header telling them when to try again.

Clear feedback lets well-behaved clients back off gracefully.

Secure HTTP Headers

Add defensive headers to every response:

Strict-Transport-Security forces HTTPS
X-Content-Type-Options: nosniff
Content-Security-Policy limits script sources

CORS Configuration

CORS controls which web origins may call your API from a browser. Set an explicit allowlist of trusted origins.

Never use a wildcard with credentials enabled, as it exposes your API to any site.

Avoiding Excessive Data Exposure

APIs often return entire database objects, leaking internal fields. Always return an explicit response shape with only the fields the client needs.

Never send password hashes, internal IDs, or audit fields to the client.

function publicUser(u) {
  return { id: u.id, name: u.name, email: u.email };
  // omit password_hash, internal flags
}

Idempotency and Replay Protection

Network retries can cause duplicate operations. Support idempotency keys so retrying a payment or write produces the same result once.

This protects both correctness and security against replay attacks.

Logging and Monitoring Abuse

Security is not only prevention. Log authentication failures, rate-limit hits, and suspicious patterns. Alert when an account shows signs of attack.

Visibility lets you respond before a breach becomes a disaster.

Quick Check

Test your API security knowledge.

対話的なレッスンで答える

Recap

You learned to harden SaaS APIs:

Validate input and use parameterized queries
Rate limit with token buckets and return 429
Add secure headers, strict CORS, minimal response shapes, and idempotency
Log and monitor abuse

無料で開始

AI チューターと学ぶ SaaS Architecture & Startup Engineering — 無料

ブラウザでリアルコードを書いて実行し、24/7 の AI チューターから瞬時にサポートを受け、ウェブまたはアプリで続きから学習できます。

コース: 12
レッスン: 48

無料で学習を始めるコース全体を表示

よくある質問

「安全なAPI設計とレート制限」レッスンは無料ですか？

はい。「安全なAPI設計とレート制限」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、SaaS Architecture & Startup Engineeringコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 SaaS Architecture & Startup Engineeringコースには全4レッスンが含まれています。

「安全なAPI設計とレート制限」で何を学びますか？

入力検証、レート制限、安全なヘッダー、一般的なWeb脆弱性への対策を使って、SaaS APIを悪用や攻撃から守る方法を学びます。ブラウザで直接実行するハンズオンコードでSaaS Architecture & Startup Engineeringを演習し、24時間対応のAIチューターがレッスンを進める中での質問に答えます。

SaaS Architecture & Startup Engineeringを始めるのに経験は必要ですか？

事前経験は必要ありません。CoddyKitのSaaS Architecture & Startup Engineeringは初級者から上級者向けに構成されているため、ここから始めるか最初から始めて、自分のペースで進むことができます。これはレッスン4/4です。

「安全なAPI設計とレート制限」レッスンにはどのくらい時間がかかりますか？

ほとんどのCoddyKitレッスンは約5～10分かかります。各レッスンはコンパクトでインタラクティブなので、着実に進歩し、ウェブとアプリ全体で正確に前回の場所から再開できます。

このSaaS Architecture & Startup Engineeringレッスンでコードを書いて実行できますか？

はい。すべてのSaaS Architecture & Startup Engineeringレッスンに組み込みコードエディタが含まれているため、ブラウザでリアルコードを書いて実行し、即座のAIフィードバックを取得できます。ローカル設定は不要です。

このコースのすべてのレッスン

← SaaS Architecture & Startup Engineeringに戻る