API TestingFeb 26, 20263 min readUpdated February 2026

REST APIテスト：開発者のための完全ガイド

S

Technical Writer, Qodex

はじめに

REST（Representational State Transfer）APIは、現代のWebアプリケーションやモバイルアプリケーションの基盤となっています。ユーザープロファイルの取得から決済処理まで、ほぼすべてのアプリケーションはRESTful APIエンドポイントを通じてバックエンドサービスと通信しています。これらのAPIをテストすることは、信頼性、パフォーマンス、セキュリティを確保するために不可欠です。

このガイドでは、REST APIテストについて必要なすべての知識を網羅しています。HTTPメソッドの基礎から高度な自動化戦略まで解説します。初めてAPIテストを書く開発者から、包括的なテストスイートを構築するQAエンジニアまで、すぐに使える実践的な技術とコード例を見つけることができます。

REST APIテストとは何ですか？

REST APIテストとは、RESTful Webサービスが正しいレスポンスを返し、エラーを適切に処理し、許容できる範囲内でパフォーマンスを発揮し、攻撃に対してセキュアであることを検証するプロセスです。

UIテスト（ユーザーが見るものをテストする）とは異なり、APIテストはビジネスロジック層を直接検証するため、より高速で信頼性が高く、自動化しやすいです。

REST APIでテストする内容

HTTPステータスコード: APIは200、201、400、401、404、500を正しく返していますか？
レスポンスボディ: JSON/XMLは期待されるスキーマと値に一致していますか？
ヘッダー: content-type、cache-control、CORSヘッダーは正しいですか？
認証: 保護されたエンドポイントは未認証のリクエストを拒否していますか？
パフォーマンス: 通常時および高負荷時にAPIはどのくらい速くレスポンスを返しますか？
エラー処理: APIは意味のあるエラーメッセージを返していますか？

HTTPメソッドとテストすべき内容

REST APIは標準HTTPメソッドを使用します。各メソッドには固有のテスト要件があります。

GET：リソースの取得

# 単一ユーザーの取得
curl -X GET https://api.example.com/users/1 \
  -H "Authorization: Bearer YOUR_TOKEN"

# 期待値：ユーザーデータを含む200 OK
# テスト：レスポンスのスキーマ、フィールドの型、値を検証します

GETのテストチェックリスト：

既存のリソースに対して200を返す
存在しないリソースに対して404を返す
ページネーションが正しく機能する（limit、offset、cursor）
フィルタリングとソートが正確な結果を返す
レスポンスヘッダーに適切なキャッシュディレクティブが含まれる

POST：リソースの作成

# 新しいユーザーの作成
curl -X POST https://api.example.com/users \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer YOUR_TOKEN" \
  -d '{
    "name": "Jane Doe",
    "email": "jane@example.com",
    "role": "developer"
  }'

# 期待値：新しいリソースを含む201 Created

POSTのテストチェックリスト：

作成されたリソースを含む201を返す
必須フィールドを検証する（欠落フィールドには400を返す）
重複エントリーを適切に拒否する（409 Conflict）
インジェクション攻撃を防ぐために入力をサニタイズする
レスポンスに作成されたリソースのIDを返す

PUT/PATCH：リソースの更新

# 完全更新（PUT）
curl -X PUT https://api.example.com/users/1 \
  -H "Content-Type: application/json" \
  -d '{"name": "Jane Smith", "email": "jane.smith@example.com", "role": "lead"}'

# 部分更新（PATCH）
curl -X PATCH https://api.example.com/users/1 \
  -H "Content-Type: application/json" \
  -d '{"role": "lead"}'

DELETE：リソースの削除

# ユーザーの削除
curl -X DELETE https://api.example.com/users/1 \
  -H "Authorization: Bearer YOUR_TOKEN"

# 期待値：204 No ContentまたはHTTP 200 OK

初めてのREST APIテストスイートを構築する

JavaScriptとPythonという2つの人気のあるアプローチを使って実践的なテストスイートを構築してみましょう。

JavaScriptとJestおよびAxiosの使用

// tests/users.test.js
const axios = require('axios');

const API_URL = 'https://api.example.com';
const TOKEN = process.env.API_TOKEN;

const client = axios.create({
  baseURL: API_URL,
  headers: { Authorization: `Bearer ${TOKEN}` },
});

describe('Users API', () => {
  let createdUserId;

  test('POST /users creates a new user', async () => {
    const response = await client.post('/users', {
      name: 'Test User',
      email: 'test@example.com',
      role: 'developer',
    });

    expect(response.status).toBe(201);
    expect(response.data).toHaveProperty('id');
    expect(response.data.name).toBe('Test User');
    createdUserId = response.data.id;
  });

  test('GET /users/:id returns the created user', async () => {
    const response = await client.get(`/users/${createdUserId}`);

    expect(response.status).toBe(200);
    expect(response.data.email).toBe('test@example.com');
  });

  test('GET /users/:id returns 404 for non-existent user', async () => {
    try {
      await client.get('/users/99999');
    } catch (error) {
      expect(error.response.status).toBe(404);
    }
  });

  test('PATCH /users/:id updates user role', async () => {
    const response = await client.patch(`/users/${createdUserId}`, {
      role: 'lead',
    });
    expect(response.status).toBe(200);
    expect(response.data.role).toBe('lead');
  });

  test('DELETE /users/:id removes the user', async () => {
    const response = await client.delete(`/users/${createdUserId}`);
    expect(response.status).toBe(204);
  });
});

Pythonとpytestおよびrequestsの使用

# tests/test_users.py
import os
import pytest
import requests

API_URL = "https://api.example.com"
HEADERS = {
    "Authorization": f"Bearer {os.environ['API_TOKEN']}",
    "Content-Type": "application/json",
}

class TestUsersAPI:
    created_user_id = None

    def test_create_user(self):
        response = requests.post(
            f"{API_URL}/users",
            json={"name": "Test User", "email": "test@example.com", "role": "developer"},
            headers=HEADERS,
        )
        assert response.status_code == 201
        data = response.json()
        assert "id" in data
        TestUsersAPI.created_user_id = data["id"]

    def test_get_user(self):
        response = requests.get(
            f"{API_URL}/users/{self.created_user_id}",
            headers=HEADERS,
        )
        assert response.status_code == 200
        assert response.json()["email"] == "test@example.com"

    def test_get_nonexistent_user(self):
        response = requests.get(f"{API_URL}/users/99999", headers=HEADERS)
        assert response.status_code == 404

    def test_delete_user(self):
        response = requests.delete(
            f"{API_URL}/users/{self.created_user_id}",
            headers=HEADERS,
        )
        assert response.status_code == 204

REST APIテストのベストプラクティス

1. 実装ではなくコントラクトをテストする

テストはAPIがそのコントラクト（スキーマ、ステータスコード、レスポンス形式）に準拠していることを検証する必要があり、バックエンドが内部的にどのように実装しているかを検証するものではありません。これによりテストがリファクタリングに対して耐性を持つようになります。

2. 設定には環境変数を使用する

APIのURL、トークン、資格情報をテストにハードコードしないでください。環境変数または設定ファイルを使用します。

3. テストデータの分離を実装する

各テストは独自のデータを作成し、テスト後にクリーンアップする必要があります。別のテストやユーザーが変更する可能性のある既存のデータに依存しないでください。

4. レスポンスのスキーマを検証する

ステータスコードを確認するだけでなく、JSON Schemaバリデーションを使ってレスポンス構造全体を検証してください。

const Ajv = require('ajv');
const ajv = new Ajv();

const userSchema = {
  type: 'object',
  required: ['id', 'name', 'email', 'role'],
  properties: {
    id: { type: 'integer' },
    name: { type: 'string' },
    email: { type: 'string', format: 'email' },
    role: { type: 'string', enum: ['developer', 'lead', 'admin'] },
  },
};

test('GET /users/:id matches schema', async () => {
  const response = await client.get('/users/1');
  const validate = ajv.compile(userSchema);
  expect(validate(response.data)).toBe(true);
});

5. 認証と認可をテストする

トークンなしのリクエストは401を返す
期限切れトークンのリクエストは401を返す
権限不足のリクエストは403を返す
有効なトークンのリクエストは期待されるデータを返す

6. エラーレスポンスをテストする

エラーパスはハッピーパスと同様に重要です。APIが適切なステータスコードとともに明確で一貫したエラーメッセージを返すことを検証します。

7. エッジケースをカバーする

空のリクエストボディ
非常に長い文字列
特殊文字とUnicode
数値フィールドの境界値
NullおよびUndefinedの値
同じリソースへの同時リクエスト

CI/CDでREST APIテストを自動化する

開発中の手動APIテストは出発点ですが、本番アプリケーションにはすべてのコード変更時に自動テストが実行される必要があります。

GitHub Actionsの例

name: REST API Tests
on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  api-tests:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-node@v4
        with:
          node-version: '20'
      - run: npm ci
      - run: npm run start:test &
      - run: npx wait-on http://localhost:3000/health
      - run: npm run test:api
        env:
          API_URL: http://localhost:3000

Qodex.aiによる自動化

テストコードを手動で書くことを省きたい場合は、Qodex.aiがAPIの仕様を分析し、包括的なテストスイートを自動生成できます。AIエージェントはハッピーパス、エッジケース、エラー処理、セキュリティの脆弱性のテストを作成し、CI/CDパイプラインに統合します。

REST APIテストツールの比較

詳細な比較については、APIテストツールの比較をご覧ください。RESTテストの簡単な概要は以下のとおりです。

ツール	言語	アプローチ	最適な用途
Postman / Newman	JavaScript	GUI + CLI	手動探索 + CI/CD
Qodex.ai	任意	AI搭載	自動テスト生成
REST Assured	Java	コード	Javaチーム
pytest + requests	Python	コード	Pythonチーム
Jest + axios	JavaScript	コード	Node.jsチーム
Karate DSL	Gherkin	BDD	BDDスタイルテスト

高度なREST APIテスト技術

コントラクトテスト

コントラクトテストは、APIプロバイダーとコンシューマーがAPIコントラクトに合意していることを確認します。Pactなどのツールを使うと、コンシューマーの期待を定義してプロバイダーに対して検証できます。これはマイクロサービスにおける統合テストにおいて重要です。

パフォーマンステスト

k6やJMeterなどの負荷テストツールを使って、REST APIが期待されるトラフィックを処理できることを確認します。主要なメトリクス：p50/p95/p99レイテンシ、スループット（RPS）、負荷下でのエラー率。

セキュリティテスト

REST APIは一般的な攻撃対象です。APIセキュリティテストガイドに掲載されている脆弱性をテストします。SQLインジェクション、認証の不備、過剰なデータ公開、レートリミット、CORSの設定ミスなどが含まれます。

RESTと他のAPIアーキテクチャの比較

RESTが唯一の選択肢ではありません。要件によっては、柔軟なクエリのためのGraphQL、高パフォーマンスなサービス間通信のためのgRPC、または厳格なコントラクトを持つエンタープライズシステムのためのSOAPも検討できます。

よくある質問

REST APIテストとUIテストの違いは何ですか？

REST APIテストはHTTPリクエストを送信してレスポンスを確認することでバックエンドのロジックを直接検証します。UIテストはブラウザを通じてユーザーインターフェースとやり取りします。APIテストはレンダリング層をスキップするため、より高速で安定しており、自動化しやすいです。

コードを書かずにREST APIをテストするにはどうすればよいですか？

Postman、Insomnia、Hoppscotchなどのツールはテストのためのビジュアルインターフェースを提供しています。Qodex.aiはAPIの仕様からテストスイートを自動生成することでさらに一歩進んでいます。コーディングは不要です。

REST APIで何をテストすべきですか？

最低限：HTTPステータスコード、レスポンスボディの構造、認証/認可、エラー処理、入力バリデーション、パフォーマンスをテストします。詳細についてはAPIテストチェックリストをご覧ください。

REST APIテストを自動化するにはどうすればよいですか？

Jest、pytest、またはREST Assuredなどのフレームワークを使ってテストを書き、CI/CDパイプラインに統合します。またはQodex.aiを使ってテストを自動生成・実行します。

REST APIテストに最適なツールは何ですか？

スタックによって異なります。手動の探索にはPostmanまたはInsomnia、コードベースの自動テストにはREST Assured（Java）またはpytest（Python）、AI搭載の自動化にはQodex.aiをお勧めします。詳細はAPIテストツールの比較をご覧ください。

REST APIテストはSOAP APIテストとどのように異なりますか？

RESTはHTTP上でJSONを使用しますが、SOAPは厳格なWSDLスキーマを持つXMLを使用します。RESTテストはHTTPクライアントがあれば機能するため、よりシンプルです。SOAPテストにはWSDLとXMLネームスペースを理解するSoapUIなどの専門ツールが必要な場合が多いです。

Tagsrest api testing rest api testing guide how to test rest api rest api test automation rest api testing best practices rest api testing tools

Ship continuously. Test continuously.

Qodex explores your app, writes runnable tests, and replays them on every change at zero LLM cost.

Start free trial Book a demo