GUIDE / API-SECURITY

APIセキュリティとは？種類（クラウドで見る型・ゲートウェイに付ける型・アプリの中から見る型）と、WAFとの違い、価格、選び方

APIを探して一覧にし、攻撃を検知して止めるAPIセキュリティの3つの種類、WAFとの違い、シャドーAPIの見つけ方、導入の条件、公開されている価格を、メーカー公式の情報で整理します。

2026年11月7日更新

この記事の答え

APIセキュリティは、APIを探して一覧にし、攻撃や不正な使い方を見つけて止める製品です。通信を見る場所で、クラウドで見る型、APIゲートウェイに付ける型、アプリや基盤の中から見る型の3つに分かれます。今使っているAPI基盤と、止めたい場所で選びます。

APIセキュリティとは

APIは、プログラム同士がデータをやり取りする窓口です。開発が進むと、管理の台帳に載っていないシャドーAPIや、使われなくなったのに残るゾンビAPIが出てきます。APIセキュリティは、こうしたAPIを探し出して一覧にし、攻撃や不正な使い方を見つけて止めます。

WAFとの違い

WAFは、Webアプリを狙う攻撃を通信の中身で止める製品です。APIセキュリティは、まず守る相手のAPIを洗い出します。そのうえでスキーマとの照合や使われ方の変化を見て、WAFのルールだけでは拾いにくい不正を見つけます。両方を同じメーカーでそろえる製品もあり、Fastlyは次世代WAFとAPI Discoveryを同じ管理面に載せています。

APIセキュリティの3つの種類

クラウドで見る型は、API通信をメーカーのクラウドで見ます。F5 Distributed Cloud API Security、Cloudflare API Shield、Fastly API Securityがここに入ります
APIゲートウェイに付ける型は、APIの管理基盤に足して使います。Apigee Advanced API SecurityとMicrosoft Defender for APIsがここに入ります
アプリや基盤の中から見る型は、ライブラリやエージェント、ゲートウェイとの統合で見ます。Cortex Cloud APIセキュリティとDatadog App & API Protectionがここに入ります

選ぶときに見るところ

選ぶときは「APIの所在」「止める場所」「前提の製品」の3つを先に決めます。

APIの見つけ方は製品で違います。Fastly API Securityはライブトラフィックから、F5 Distributed Cloud API Securityはコードの解析と外部からのクローリングも合わせて探します
止める単位も違います。Cloudflare API Shieldはスキーマに合わない通信を止め、Apigee Advanced API SecurityはIPアドレス単位で止めます。Microsoft Defender for APIsの公式の説明は検出までです
前提の製品も確かめます。Apigee Advanced API SecurityはApigeeが、Datadog App & API ProtectionはDatadogのインフラ監視が必要です
Azure API Managementのセルフホステッドゲートウェイを通すAPIは、Defender for APIsの対象外です