REST/GraphQL向け認証済みAPIスキャン
このガイドでは、Aikido で認証済みドメインスキャンを設定する手順を順を追って説明し、徹底的で安全な評価を実現します。
API スキャンは Pro プランと Advanced プランでのみ利用できます
ユースケース
Webサイトの保護された領域に対して、包括的なセキュリティ評価を実施できます。
API の認証済みセクションにある脆弱性を特定します。
ドメインでの認証の設定
手順1: へ移動します。 ドメイン概要 そして、三点リーダーをクリックして、任意の REST/GraphQL API ドメインのアクションメニューを開きます。選択してください ドメインを認証。
手順2: 認証するための希望するオプションを選択してください。
すべての種類のスキャン認証情報は PKCS1 暗号化を使用して安全に保存されます
認証オプション
フォーム経由でログイン
ドメイン認証のためにURLとメールアドレス/パスワードを入力してください。クリック テスト すると、Aikidoがその認証情報でドメインにアクセスできるか確認します。
二要素認証が有効な場合は、ワンタイムパスワード情報も入力できます。 OTP URL とその仕組みの詳細については、ドキュメントを参照してください.
Microsoft / Google SSO は現在 しません サポートされています。回避策として、手動で認証し、カスタムヘッダーの Cookie ヘッダーを使って有効なセッションを渡すことができます。
お使いのケースがサポートされていませんか？チャットでお知らせください。確認します！
Aikido は以下のルールに従ってフォームの送信を試みます：
以下を持つ表示可能なボタンまたは入力フィールドを見つけます：
type=submitGoogle や Facebook などの一般的な OAuth オプションは無視しますラベルまたはテキストを基にボタンを見つけます。login、log in、submit、sign in などに一致または類似するテキストを検索します。複数の言語で行います。
HTML ID のセットを基にボタンを見つけます。たとえば
id=form-submitページ上で最初の表示可能なボタンを見つけます
カスタムヘッダー
エンドポイントが、作成後に変更されない固定のキー、Cookie、またはトークンを受け付ける場合、このオプションを使ってカスタムヘッダーとして追加できます。
使用例:
Cookieの場合: 次を設定する
Cookieヘッダー。JWT Bearerトークンの場合: 次を設定する
認可ヘッダー
OAuthクライアント認証情報
このオプションは、MFAを回避したい場合に使用できます。Aikidoは、OAuth仕様に準拠したクライアント認証情報フローを使用する、指定されたログインURLにリクエストを送信します。つまり、設定されたログインURLに対してPOSTリクエストを行い、 grant_type に設定された client_credentials そして、client_idとclient_secretをそれぞれユーザー名とパスワードとして含むBasic認証ヘッダーを使用します。
OAuth パスワードグラント
このオプションは、API が OAuth Password Grant フローを使用してユーザーの直接の認証情報（ユーザー名とパスワード）を必要とする場合に選択してください。Aikido はログイン URL に POST リクエストを送信し、 grant_type に設定された パスワード、あなたが提供するユーザー名とパスワードを含みます。API によっては、クライアント ID とシークレットも必要になる場合があります。
ベーシック認証
APIが標準のベーシック認証を使用している場合は、このオプションを選択してください。ユーザー名とパスワードを入力すると、Aikidoが必要な Authorization: Basic ... ヘッダーを、APIへのすべてのリクエストに自動的に含めます。
AIエージェント経由でログイン（ベータ版）
AIエージェントはLLMを使用して実際のブラウザーセッションを制御します。人間と同じように、あなたが提供する指示に従って認証プロセスを完了します。これは次のような場合に適しています：
フォームベースのログイン
固定OTPまたは使い捨てコード
複数ステップの認証フロー
カスタムまたは標準外のログイン画面
認証情報や必要な操作を含め、明確な手順を段階的に記載してください。エージェントは詳細な設定なしで、リダイレクト、動的ページ、中間ステップを処理できます。ほとんどの場合、短く簡潔な指示で十分です。
最終更新
役に立ちましたか？