API セキュリティテストツール 10 選（2026年版）

最良の API セキュリティテストツール 10 選 早見表

API の侵害は、めったに特殊なエクスプロイトから生じるものではありません。誰もオブジェクトレベルの認可をテストしなかったために、ユーザー1234にユーザー4321のデータを返してしまったエンドポイントから生じるのです。以下のツールはいずれもその問題に立ち向かいますが、それらは本質的に異なる2つのカテゴリーに分かれており、たいていのまとめ記事はそのことに触れません。まずそこを整理しましょう。

DAST スキャナー vs セキュリティリグレッション: 何を買うのかを知る

DAST（動的アプリケーションセキュリティテスト）とは、攻撃者と同じように、稼働中のアプリケーションを外側からテストすることを意味します。リクエストを送り、レスポンスを観察し、弱点を探るのです。これは、ソースコードを実行せずに読み取る SAST とは対照的です。このリストにあるツールのほとんどは、何らかの形で DAST ツールです。

ただし、DAST の中にも、ツールを実際にどう運用するかを左右する分岐があります。

• スキャナー（ZAP、Burp、Escape、StackHawk、Beagle Security、APIsec、Akto）は、アプリや仕様に対してスイープを実行し、検出結果のレポートを生成します。スイープはスケジュール実行することも CI に組み込むこともできますが、作業の単位はスキャンです。強み: 既知の脆弱性クラスの網羅性、コンプライアンスに適したレポート。弱み: スキャナーはあなたのビジネスロジックを知りません。一般ユーザーが管理者の請求書を読むことが侵害である、ということをスキャナーは知り得ません。なぜなら、HTTP レスポンスにはそう書かれていないからです。

• セキュリティリグレッションは、セキュリティチェックを機能テストのように扱います。具体的で名前の付いたシナリオ（「ユーザー B は GET /orders/{ユーザー A の注文} にアクセスできてはならない」）を、リグレッションのサイクルごとに実行し、挙動が退行したら大きく失敗させ、機能テストスイートと並べて配置します。認可の欠陥（BOLA、IDOR）が実際に捕捉されるのはこの方法です。なぜなら、これらの欠陥は定義上、ビジネスロジック固有だからです。Qodex はこのモデルを中心に構築されています。

ほとんどのチームにとって正直な答えは、両方を1つずつ持つことです。既知の脆弱性クラスを横断的に網羅するスキャナーと、スキャナーが構造的に判断できない認可ロジックのためのセキュリティリグレッションです。OWASP API Security Top 10 は、壊れたオブジェクトレベル認可（BOLA）を API リスクの第1位に位置づけていますが、BOLA はまさに汎用スキャンが最も苦手とするクラスです。

API セキュリティテストツール 10 選（2026年）

1. Qodex

Qodex は、API セキュリティを別個の年次イベントではなくリグレッションの一部として扱うエージェント型テストエージェントです。エージェントはあなたの OpenAPI 仕様、Postman コレクション、あるいはライブ探索から API を学習し、機能シナリオと並べてセキュリティシナリオを生成します。環境ごとに複数の認証プロファイル（管理者、一般、閲覧者）を使った IDOR および BOLA のプローブ、認証バイパスチェック、インジェクションのペイロード、そして OWASP API Top 10 のカバレッジです。スイート全体は、オンデマンドで、スケジュールで、あるいは CI の Webhook から、決定論的にリプレイされます。

ここでは3つの設計上の選択が重要です。

• 反転したセマンティクス: セキュリティシナリオでは、pass（合格）は攻撃がブロックされたことを意味し、fail（失敗）はあなたが脆弱であることを意味します。エージェントはアサーションを緩めることで失敗したセキュリティテストを「修正」しません。これはまさに、汎用の AI ツールがセキュリティチェックに手を出したときに陥る失敗モードです。

• マルチロールの認可テスト: 環境が複数の認証プロファイルを持つため、エージェントはテナント間アクセスやロール昇格アクセスを体系的に試みることができます。これは OWASP API Top 10 のトップに立ち、認証されていないスキャナーでは意味のあるテストができない BOLA/IDOR クラスです。

• 証拠付きの検出結果: 失敗は、深刻度、再現手順、キャプチャされた証拠を伴う検出結果となり、未解決の検出結果と重複排除されます。高および重大のセキュリティ検出結果は、登録される前にキャプチャされた証拠を必要とするため、誤警報がキューに入りません。

料金: クレジットカード不要の無料プラン; 有料プランは営業と範囲を決定します（料金を参照）。

長所: 1つのエージェント、1つのスイートによるセキュリティテストと機能テスト; デプロイごとのセキュリティリグレッションを追加の LLM コストゼロで実行（シナリオは決定論的にリプレイ）; 標準的で、取り出し可能なテストスクリプト; 組み込みの失敗トリアージ。

短所: 網羅性ファーストのスキャナーではありません; 組織全体の1,000個の未知の API を棚卸しすることはしません（それには Akto のようなディスカバリーツールと組み合わせてください）; このリストの既存製品よりも若い製品です。

最適な用途: 年次のペンテストを待つのではなく、リグレッションのたびに BOLA、IDOR、認証バイパスのチェックを実行したいプロダクトチームおよびプラットフォームチーム。無料で始めて、ステージング API に向けてください。このアプローチの詳細は、API セキュリティテストのページにあります。

2. Burp Suite

PortSwigger の Burp Suite は、セキュリティ専門家が真っ先に手に取るツールです。Professional エディションは手を動かすツールキットです。傍受プロキシ、リクエストを組み立てる Repeater、自動攻撃ペイロードのための Intruder、認証済み API スキャン、そして BApp 拡張エコシステムを備えています。Burp Suite Enterprise Edition は、スキャナーをスケジュール実行のマルチサイト DAST に変えます。深い手動 API テスト（連鎖エクスプロイト、ビジネスロジックの悪用、トークン解析）においては、Burp の深さに並ぶものはありません。

料金（2026年6月時点で確認済み）: Burp Suite Community はコア手動ツールを備えた無料版; Professional は $499/ユーザー/年; Enterprise Edition は見積もりベースです。

長所: 手動テストにおける業界標準の深さ; 巨大な拡張エコシステム; プロのペンテスターの事実上の標準ツール。

短所: Professional は人間主導のツールであり、カバレッジは計算資源ではなく熟練した工数に比例して拡大します; 継続的なデプロイごとのリグレッション向けには作られていません; API 固有のワークフローは API ネイティブなツールに比べてセットアップに手間がかかります。より広い分野については、Burp Suite の代替ツールガイドで比較しています。

最適な用途: 熟練した手動 API テストを行うセキュリティエンジニアとペンテスター。

3. OWASP ZAP

ZAP（Zed Attack Proxy、現在は「ZAP by Checkmarx」として運営）は、世界で最も広く使われているオープンソースの Web および API スキャナーです。傍受プロキシ、アクティブおよびパッシブスキャン、OpenAPI と GraphQL のインポート、そして CI パイプライン向けの堅実な自動化フレームワークが、すべて無料で手に入ります。セキュリティ予算がゼロのチームにとって、パイプライン内の ZAP は何もないよりも劇的に優れており、たいていのチームが現在動かしているのはまさにその「何もない」状態です。

料金（2026年6月時点で確認済み）: 無料でオープンソース。

長所: 無料; スクリプト可能; 活発なコミュニティ; まずまずの CI 自動化のストーリー。

短所: 商用スキャナーよりも検出結果のノイズが多く、トリアージはあなたの負担になります; 認証済みのマルチロール API テストには相当な設定が必要です; マネージドなレポートやコンプライアンスのパッケージ化はありません。

最適な用途: ベースラインを確立しようとしている予算制約のあるチーム、そして手動でつつくための無料プロキシが欲しいエンジニア。

4. Escape

Escape は API ファーストで構築された現代的な DAST プラットフォームで、たいていのスキャナーに欠けている特有の強みを持っています。ビジネスロジックへの理解です。そのエンジンは、あなたの API のデータモデル（GraphQL を含み、この分野では数少ない本格的な選択肢の1つです）への理解を組み立て、孤立したペイロードではなく攻撃シーケンスを生成します。攻撃対象領域管理と AI 支援ペネトレーションテストがプラットフォームを完成させています。

料金（2026年6月時点で確認済み）: デモ主導; 公開価格表なし。

長所: GraphQL を含む真に API ネイティブなスキャン; ビジネスロジック対応のテストはペイロードの散布よりも深く踏み込みます; 仕様やエンドポイントからのエージェントレスなセットアップ。

短所: 見積もりベースの料金; 開発者ワークフロー志向というより AppSec チーム志向; 検出結果は依然としてあなたのチームのトリアージを必要とします。

最適な用途: 大規模または GraphQL 中心の API 群をスキャンする AppSec チーム。

5. Invicti / Acunetix

Invicti（旧 Netsparker）は、DAST、IAST、SAST、SCA、API セキュリティを1つのスイートに折り込むエンタープライズアプリケーションセキュリティプラットフォームです。その特徴は実証ベーススキャンです。エンジンは脆弱性を報告する前に、安全で制御された確認を試みるため、誤検知が大幅に減ります。API 側では REST、SOAP、GraphQL をスキャンし、複数のディスカバリー経路（設定不要の動的ディスカバリー、API 管理との連携、トラフィック解析）を備えています。Acunetix は同じ実証ベースエンジン上の姉妹製品で、より簡単な設定と FQDN 単位のライセンスを持ち、小規模チーム向けです。

料金（2026年時点で確認済み）: Invicti は見積もりベースで、スキャン対象とデプロイによってエンタープライズ層別に価格が決まり、公開の定価はありません。Acunetix は FQDN 単位のライセンスで年間約 $5,000 からで、複数ターゲットの最低数があります。

長所: 実証ベーススキャンが誤検知を低く抑えます; Web、API、IAST を1つのプラットフォームで真に幅広くカバー; 大規模な AppSec プログラム向けの成熟したレポートとコンプライアンスのパッケージ化。

短所: 個々のプロダクトチームではなくエンタープライズ AppSec チーム向けに価格設定・位置づけされています; API ファーストのツールというより汎用的な Web/API DAST であるため、API 固有の使い勝手は API ネイティブな選択肢より軽めです; ビジネスロジック認可（BOLA/IDOR）に対するスキャナークラスの限界は、あらゆる DAST と同様に依然として当てはまります。

最適な用途: DAST、IAST、SAST にわたって Web アプリと API をカバーする1つの実証ベースプラットフォームを望み、それを運用する専任の AppSec 機能を持つ企業。

6. APIsec

APIsec は API ペネトレーションテストを自動化します。あなたの API を解析し、認可（BOLA、RBAC）、インジェクション、ロジックの欠陥をカバーする攻撃プレイブックを生成し、それを継続的に実行し、監査人や顧客に渡せる認定済みのペンテストレポートを生成します。エンドポイント単位の公開価格を持つ数少ないベンダーの1つです。

料金（2026年6月時点で確認済み）: テスト用 API に対してプラットフォームを試すための無料プラン; Standard は $690/月（100エンドポイントあたり）; Pro は $2,750/月（100エンドポイントあたり）で、完全な CI/CD とチケット連携を備えます。

長所: 認定済みのペンテストレポートがコンプライアンスと顧客のセキュリティレビューを満たします; 単なるペイロードスキャンではない本物の認可テスト; 透明性のある料金。

短所: 100エンドポイント単位の料金はマイクロサービス群では高くつきます; QA リグレッションとは切り離された、セキュリティのサイロ内にあるセキュリティ製品です; セットアップはエンドポイントのインベントリを把握していることを前提とします。

最適な用途: コンプライアンスやエンタープライズ営業のために、繰り返し行う認定済みの API ペンテストの証拠を必要とする企業。

7. StackHawk

StackHawk は開発者と CI/CD 向けに作られた DAST です。スキャンは YAML で設定し、パイプライン内でプリプロダクションのビルドに対して実行され、検出結果は再現用の curl コマンド付きの実行可能なチケットとして届きます。API セキュリティ（REST、GraphQL、gRPC、SOAP）に加えて LLM アプリケーションや MCP サーバーといった新しい対象領域にも強く注力し、コードからの API 攻撃対象領域のディスカバリーを統合しています。

料金（2026年6月時点で確認済み）: 見積もり主導; サイト上に公開のドル価格はありません。

長所: スキャナーとしてクラス最高の CI/CD 使い勝手; 開発者に優しい再現情報; 幅広い API プロトコルのカバレッジ。

短所: 料金には営業との会話が必要です; ビジネスロジック認可の欠陥に対するスキャナークラスの限界は依然として当てはまります; スキャン単位のモデルであるため、カバレッジの深さはスキャン設定の規律に依存します。

最適な用途: セキュリティスキャンをパイプライン内に置き、開発者が所有することを望むエンジニアリング組織。

8. Beagle Security

Beagle Security はマネージド DAST プラットフォームで、Web アプリ、API、GraphQL に対してスケジュールされた認証済みのペネトレーションテストを実行し、結果を OWASP、HIPAA、PCI DSS 志向のレポートにパッケージ化します。公開価格を持つ最も手頃な商用オプションの1つであり、ZAP からの最初の有料ステップとしてよく選ばれます。

料金（2026年6月時点で確認済み）: Essential は $99/月（月2テスト、Web アプリ中心）; Advanced は $299/月で API と GraphQL のセキュリティテスト、ビジネスロジックの記録、コンプライアンスレポートを追加; Enterprise はカスタム。

長所: 透明性があり手が届きやすい料金; コンプライアンス対応のレポート; 重いセットアップなしの認証済みテスト。

短所: API セキュリティテストは Advanced プランからしか始まりません; 月あたりのテスト数の計量が、テストがどれだけ継続的になれるかの上限を決めます; 複雑な認可ロジックに対する深さは、あらゆるスキャナーと同様に限定的です。

最適な用途: 予算内で信頼できるスケジュールされたペンテストとコンプライアンスレポートを必要とする中小規模のチーム。

9. Postman

Postman はセキュリティ製品ではありませんが、何百万ものチームが既に API 定義を保管している場所であるため、そのセキュリティ機能には正直な項目を割く価値があります。Postman は設定可能なセキュリティルールに対して API 仕様をリンティングでき（コードが出荷される前に、欠けている認証スキームなどを指摘します）、スクリプト化されたテストとコレクション実行により、規律あるチームは認可チェックを手作業で組み立てられます。2つのユーザートークンをキャプチャし、アカウントをまたいでリクエストをリプレイし、レスポンスをアサートするのです。

料金（2026年6月時点で確認済み）: 無料プラン; Solo は $9/月; Team は $19/ユーザー/月; Enterprise は $49/ユーザー/月、年払い。仕様のセキュリティリンティングは、上位層のプラットフォームのガバナンス機能に含まれます。

長所: Postman で生活しているなら新しいツールは不要; 仕様レベルのセキュリティリンティングが設計上の欠陥を早期に捉えます; コレクションは普遍的な交換フォーマットです。

短所: リンティングを超えるものはすべて手動です。セキュリティテストのスクリプトはあなたが書き、あなたが保守します; スキャンエンジンも攻撃ペイロードライブラリもありません; セキュリティのカバレッジは、あなたのチームが注ぐ努力とちょうど同じだけの品質です。コレクションはあるがセキュリティテストを生成させたいなら、Qodex は Postman コレクションを直接インポートします。これについてはQodex vs Postmanで解説しています。

最適な用途: 既に Postman を使っており、設計時のセキュリティリンティングを望み、ランタイムチェックを手書きする意欲があるチーム。

10. Akto

Akto は、たいていのチームがテスト以前に抱える問題、すなわち「自分たちが実際にどの API を公開しているかを把握していない」という問題に立ち向かいます。トラフィック（ミラーリング、eBPF、ゲートウェイ連携）とコードから API インベントリを構築し、シャドウ API やゾンビエンドポイントにフラグを立て、フロー内の機密データを検出し、そのインベントリに対して大規模なセキュリティテストテンプレートのライブラリ（BOLA、認証、インジェクション、設定ミス）を実行します。オープンソースのコアにより、評価が容易です。

料金（2026年6月時点で確認済み）: オープンソース版は無料; クラウド版とセルフホスト版は見積もりベースです。

長所: ディスカバリーファーストのアプローチが、誰も所有していない API を見つけ出します; コミュニティ貢献による強力なテンプレートライブラリ; オープンソースの入口; 規制環境向けのセルフホストオプション。

短所: トラフィックベースのディスカバリーが真価を発揮するにはインフラ連携が必要です; テンプレート駆動のテストは、ビジネスロジックに対するスキャナークラスの限界を受け継ぎます; プラットフォームの幅広さ（ディスカバリー、ポスチャ、テスト、AI セキュリティ）は、単一のプロダクトチームが必要とする以上のものになり得ます。

最適な用途: 拡散した、部分的に未知の API 群を抱え、インベントリとテストを1つのプラットフォームで必要とする組織のセキュリティチーム。

どの API セキュリティテストツールがあなたのチームに合うか

ブランドよりもカテゴリーが重要です。誰が修正を所有するか、そして API がどれだけ速く変化するかにツールを合わせましょう。

• セキュリティ予算のないソロ開発者や初期段階のチーム: 網羅性のために CI 内の OWASP ZAP と、認証済みの BOLA、IDOR、認証バイパスシナリオのために Qodex の無料プランを組み合わせましょう。両者で、発注書なしに、既知の脆弱性クラスと API リスクの第1位をカバーできます。

• 毎日出荷するプロダクトチームとプラットフォームチーム: セキュリティリグレッションを、機能テストが既に存在する場所に置きましょう。Qodex はデプロイのたびにリプレイされる BOLA、IDOR、認証チェックを作成します; 同じパイプライン内で開発者が所有するスキャナーが欲しければ StackHawk を追加しましょう。

• 大規模な API 群を守る専任の AppSec チーム: 網羅性ファーストのプラットフォームがその位置を勝ち取ります。API ネイティブで GraphQL 中心のスキャンには Escape、Web と API を1つのスイートで実証ベースにカバーするには Invicti/Acunetix。どちらも、知らなかった API を最初に発見する必要があるときは Akto と組み合わせましょう。

• エンタープライズに販売するチーム: スケジュール通りの証拠が必要です。APIsec の認定済みペンテストレポートと Beagle Security のコンプライアンス対応レポートは監査人に渡せるように作られており、理想的には継続的なセキュリティリグレッションに裏打ちされ、レポートが前四半期ではなく現在のビルドを反映するようにします。

• 手を動かしてテストするセキュリティ専門家: Burp Suite Professional は、自動化では思いつかない連鎖エクスプロイトやビジネスロジックの悪用のための、記録に残る手動ツールキットであり続けています。

テストツール vs ランタイム保護: このリストが止まるところ

上記のツールはいずれも API をテストします。攻撃を送り、リリース前あるいはリリース中に何が悪用可能かを教えてくれます。これはランタイム保護とは異なります。ランタイム保護は稼働中の API の前に位置し、本番環境で攻撃をブロックします。買い手はこの2つを日常的に混同するので、線を引く価値があります。

ランタイムおよびポスチャのベンダーは3つのレーンに分かれます。

• WAAP（Web Application and API Protection）は、ボットと DDoS の緩和、スキーマ検証、L7 ルールで、インターネットに面した API をエッジで守ります。例: Akamai、Cloudflare、F5、Imperva。

• API ゲートウェイは、ルーティング、認証、レートリミット、ポリシーでトラフィックを仲介します。例: Kong、Apigee、AWS API Gateway。

• API セキュリティポスチャ管理（ASPM）とスタンドアロンプラットフォームは、シャドウ API やゾンビ API の継続的なディスカバリー、データ分類、挙動ベースのランタイム検出を追加します。例: Salt Security、Traceable、Cequence、Noname。

これらは代替ではなく補完です。ランタイム保護は本番環境に到達したものをブロックします; テストはそもそも脆弱性が出荷されるのを止め、認可の退行を顧客が気づく前に捉えられるのはテストだけです。最も強力なプログラムは両方を実行します。上記のリストのテストツールを CI に組み込み、稼働中の API の前に WAAP または ASPM のレイヤーを置くのです。ランタイム側を具体的に検討しているなら、ディスカバリーの幅広さ（シャドウ API とゾンビ API）、挙動検出の質、本番環境での OWASP API Top 10 のカバレッジでベンダーを評価しましょう。

API セキュリティテストツールの評価方法

まず認可のストーリーをテストしましょう。 すべてのベンダーに尋ねてください。「ユーザー A がユーザー B のオブジェクトを読むのをどう検出するか見せてください」。その答えが、複数の認証済みロールを設定してレスポンスを比較することを含むなら、それは本物の BOLA テストです。その答えが汎用のペイロードライブラリなら、あなたが買っているのは網羅性であって、API リスクの第1位ではありません。

検出結果がどこに着地すべきかを決めましょう。 スキャナーはセキュリティチーム向けのレポートを生成します。リグレッション型のツールはエンジニアリングチーム向けの失敗するテストを生成します。修正できる人のワークフローの外に着地した検出結果は、バックログの壁紙へと古びていきます。ツールの出力を、修正を所有するチームに合わせましょう。

最初のスキャンではなく、継続性に値段をつけましょう。 年次のペンテストに四半期ごとのスキャンを加えても、残りの300日以上は API が無防備なままであり、その間のデプロイのたびに退行の可能性があります。デプロイごとのセキュリティカバレッジが各モデルでいくらかかるかを比較しましょう。計量制スキャン、エンドポイント単位のサブスクリプション、あるいは実行ごとのコストがない決定論的なテストリプレイです。

仕様とコレクションのインポートを確認しましょう。 あなたの OpenAPI 仕様と Postman コレクションは、カバレッジへの最速の道です。それらを取り込むツール（Qodex、Escape、StackHawk、APIsec、Akto）は数日で有用なカバレッジに到達します; 手動でのエンドポイント設定が必要なツールは数週間かかります。セキュリティを超えたより広いテストツールの状況については、API テストツールのまとめとAI QA ツールのまとめ、そして qodex.ai/alternatives の完全な比較ライブラリをご覧ください。

---

よくある質問

API セキュリティテストとは何ですか？

API セキュリティテストは、攻撃下で API がそのセキュリティ保証を実施することを検証します。認証がバイパスできないこと、ユーザーが他のユーザーのオブジェクトにアクセスできないこと（BOLA/IDOR）、入力がコードをインジェクションできないこと、機密データが漏洩しないことです。通常は動的に（DAST で）実行され、稼働中の API に実際のリクエストを送ってレスポンスを評価します。少なくとも OWASP API Security Top 10 をカバーすべきです。

DAST と SAST の違いは何ですか？

SAST（静的解析）は、ソースコードを実行せずに読み取り、危険なパターンにフラグを立てます。DAST（動的解析）は、本物の敵対者のように稼働中のアプリケーションを外側から攻撃し、実際の挙動を評価します。SAST はコードレベルの問題をより早く見つけます; DAST は、コードには決して現れない設定ミスや認可の欠陥を含め、実際に悪用可能なものを見つけます。成熟したチームは両方を実行します。

最良の無料 API セキュリティテストツールは何ですか？

OWASP ZAP は、完全に無料の選択肢の中で最も強力です。オープンソースで、スクリプト可能で、OpenAPI インポートと CI 自動化を備えています。Akto のオープンソース版は、API ディスカバリーとセキュリティテストテンプレートのライブラリを追加します。Qodex の無料プランは、クレジットカードなしでセキュリティシナリオ（BOLA、認証バイパス、インジェクション）を生成・実行し、Burp Suite Community は無料の手動テストをカバーします。

スキャナーは BOLA や IDOR の脆弱性を検出できますか？

部分的にしかできません。これはこのカテゴリーで最も重要な限界です。BOLA を検出するには、ユーザー A がユーザー B のデータを見るべきではないことを知る必要がありますが、それは HTTP レスポンスには宣言されないビジネスロジックです。スキャナーはヒューリスティクスでそれを近似します; 信頼できる検出には、複数の本物のユーザーロールでテストし、それぞれが何にアクセスを許されているかをアサートすることが必要です。だからこそ、認可の欠陥はロール対応のツール（Qodex、APIsec）や手作りのマルチロールテストで最もよくカバーされ、他の脆弱性クラスの網羅性はスキャナーが提供します。

API はどのくらいの頻度でセキュリティテストすべきですか？

デプロイのたびです。認可の退行は通常の機能開発の中に紛れて出荷されます。新しいエンドポイントがテナンシーチェックを忘れる、リファクタリングが権限ガードを落とす、といった具合です。年次のペンテストや四半期スキャンでは、これらを何ヶ月も遅れて捉えることになります。実践的なパターンは、継続的なセキュリティリグレッション（機能テストと同じ頻度）に加え、自動化が見逃す創造的で連鎖的な攻撃に対して Burp のようなツールで定期的に専門家がレビューすることです。

Postman は API セキュリティテストをしますか？

Postman は仕様レベルのセキュリティリンティング（API 定義における欠けた認証スキームやリスクのある設定にフラグを立てる）を提供し、コレクション内のテストスクリプトとしてセキュリティチェックを手書きできます。スキャンエンジンも攻撃ライブラリもないため、ランタイムのセキュリティカバレッジは完全に手動です。手書きのチェックを超えて成長したチームは、通常 Postman コレクションを専用ツールにインポートします; たとえば Qodex はコレクションを直接取り込み、認可とインジェクションのシナリオをあなたのために生成します。

API セキュリティテストツールと、Akamai や Salt Security のようなランタイム保護ベンダーの、どちらを使うべきですか？

役割が異なるので、両方です。テストツール（このガイドのすべてのツール）は、リリース前あるいはリリース中に API に攻撃を送り、何が悪用可能かを教えてくれるので、出荷前に修正できます。ランタイム保護ベンダーは、Akamai、Cloudflare、Imperva のような WAAP プラットフォームであれ、Salt Security や Traceable のような API ポスチャプラットフォームであれ、稼働中の API の前に位置し、本番環境で攻撃をブロックします。ランタイム保護は、新しいエンドポイントが認可チェックなしに出荷されたことを教えてはくれません; その退行をリリース前に捉えるのはテストだけです。成熟したチームは、CI にテストツールを、本番の前にランタイムレイヤーを実行します。