開発者向けFAPIガイド

保証レベルが高いアイデンティティを高リスクな複雑さなしで構築しましょう。

OAuth 2.0は柔軟性を提供しますが、金融や医療のような高いリスクを伴うデータを扱う用途での実装には、セキュリティ上の疑問点が数多く残ります。本ガイドでは、FAPI 2.0の決定版となるセキュリティプロファイルを提示します。規制対象APIに求められる移行として、単純なベアラートークンを、DPoPやmTLSによる暗号学的にバインドされた送信者制約付きアクセスへ置き換えるアプローチを解説します。何か月にもわたる特注のカスタムコーディングなしに、認定された信頼性の高いAPIを構築し、トークン窃取を防ぐために必要な明確な技術的設計指針をご覧いただけます。

主なポイント

• FAPI 2.0の設計指針：高リスクデータを扱うために必要となる、選択の余地を排除したセキュリティプロファイルについて説明します。
• アクセストークンのセキュリティ：DPoPやmTLSを用いた送信者制約付きアクセスを実装することで、ベアラートークンのリスクを回避します。
• フローの保護：フロントチャネル攻撃に対して認可フローを堅牢化するため、Pushed Authorization Requests（PAR）が必須である理由を解説します。
• 開発への集中：Auth0が認可サーバーの複雑さにどのように対処し、セキュアなクライアントとリソースサーバーの構築に注力できる環境を提供するかを説明します。
• 最終検証：すべてのAPI呼び出しにおいて、トークンの正当な所有者を検証するためにリソースサーバーが果たすべき「立証責任」を解説します。

開発者向けガイドをダウンロード