API Testing•Feb 26, 2026•3 min read

REST APIテスト：開発者のための完全ガイド

Shreya Srivastava

Content Team

Tags:rest api testing rest api testing guide how to test rest api rest api test automation rest api testing best practices rest api testing tools

Updated on: February 2026

はじめに

REST（Representational State Transfer）APIは、現代のWebアプリケーションやモバイルアプリケーションの基盤となっています。ユーザープロファイルの取得から決済処理まで、ほぼすべてのアプリケーションはRESTful APIエンドポイントを通じてバックエンドサービスと通信しています。これらのAPIをテストすることは、信頼性、パフォーマンス、セキュリティを確保するために不可欠です。

このガイドでは、REST APIテストについて必要なすべての知識を網羅しています。HTTPメソッドの基礎から高度な自動化戦略まで解説します。初めてAPIテストを書く開発者から、包括的なテストスイートを構築するQAエンジニアまで、すぐに使える実践的な技術とコード例を見つけることができます。

REST APIテストとは何ですか？

REST APIテストとは、RESTful Webサービスが正しいレスポンスを返し、エラーを適切に処理し、許容できる範囲内でパフォーマンスを発揮し、攻撃に対してセキュアであることを検証するプロセスです。

UIテスト（ユーザーが見るものをテストする）とは異なり、APIテストはビジネスロジック層を直接検証するため、より高速で信頼性が高く、自動化しやすいです。

REST APIでテストする内容

HTTPステータスコード: APIは200、201、400、401、404、500を正しく返していますか？
レスポンスボディ: JSON/XMLは期待されるスキーマと値に一致していますか？
ヘッダー: content-type、cache-control、CORSヘッダーは正しいですか？
認証: 保護されたエンドポイントは未認証のリクエストを拒否していますか？
パフォーマンス: 通常時および高負荷時にAPIはどのくらい速くレスポンスを返しますか？
エラー処理: APIは意味のあるエラーメッセージを返していますか？

HTTPメソッドとテストすべき内容

REST APIは標準HTTPメソッドを使用します。各メソッドには固有のテスト要件があります。

GET：リソースの取得

# 単一ユーザーの取得 curl -X GET https://api.example.com/users/1 \ -H "Authorization: Bearer YOUR_TOKEN"

# 期待値：ユーザーデータを含む200 OK # テスト：レスポンスのスキーマ、フィールドの型、値を検証します

GETのテストチェックリスト：

既存のリソースに対して200を返す
存在しないリソースに対して404を返す
ページネーションが正しく機能する（limit、offset、cursor）
フィルタリングとソートが正確な結果を返す
レスポンスヘッダーに適切なキャッシュディレクティブが含まれる

POST：リソースの作成

# 新しいユーザーの作成 curl -X POST https://api.example.com/users \ -H "Content-Type: application/json" \ -H "Authorization: Bearer YOUR_TOKEN" \ -d '{ "name": "Jane Doe", "email": "jane@example.com", "role": "developer" }'

# 期待値：新しいリソースを含む201 Created

POSTのテストチェックリスト：

作成されたリソースを含む201を返す
必須フィールドを検証する（欠落フィールドには400を返す）
重複エントリーを適切に拒否する（409 Conflict）
インジェクション攻撃を防ぐために入力をサニタイズする
レスポンスに作成されたリソースのIDを返す

PUT/PATCH：リソースの更新

# 完全更新（PUT） curl -X PUT https://api.example.com/users/1 \ -H "Content-Type: application/json" \ -d '{"name": "Jane Smith", "email": "jane.smith@example.com", "role": "lead"}'

# 部分更新（PATCH） curl -X PATCH https://api.example.com/users/1 -H "Content-Type: application/json" -d '{"role": "lead"}'

DELETE：リソースの削除

# ユーザーの削除 curl -X DELETE https://api.example.com/users/1 \ -H "Authorization: Bearer YOUR_TOKEN"

# 期待値：204 No ContentまたはHTTP 200 OK

初めてのREST APIテストスイートを構築する

JavaScriptとPythonという2つの人気のあるアプローチを使って実践的なテストスイートを構築してみましょう。

JavaScriptとJestおよびAxiosの使用

// tests/users.test.js
const axios = require('axios');
const API_URL = 'https://api.example.com';
const TOKEN = process.env.API_TOKEN;
const client = axios.create({
baseURL: API_URL,
headers: { Authorization: Bearer ${TOKEN} },
});
describe('Users API', () => {
let createdUserId;
test('POST /users creates a new user', async () => {
const response = await client.post('/users', {
name: 'Test User',
email: 'test@example.com',
role: 'developer',
});
expect(response.status).toBe(201);
expect(response.data).toHaveProperty('id');
expect(response.data.name).toBe('Test User');
createdUserId = response.data.id;

});
test('GET /users/:id returns the created user', async () => {
const response = await client.get(/users/${createdUserId});
expect(response.status).toBe(200);
expect(response.data.email).toBe('test@example.com');

});
test('GET /users/:id returns 404 for non-existent user', async () => {
try {
await client.get('/users/99999');
} catch (error) {
expect(error.response.status).toBe(404);
}
});
test('PATCH /users/:id updates user role', async () => {
const response = await client.patch(/users/${createdUserId}, {
role: 'lead',
});
expect(response.status).toBe(200);
expect(response.data.role).toBe('lead');
});
test('DELETE /users/:id removes the user', async () => {
const response = await client.delete(/users/${createdUserId});
expect(response.status).toBe(204);
});
});

Pythonとpytestおよびrequestsの使用

# tests/test_users.py
import os
import pytest
import requests
API_URL = "https://api.example.com"
HEADERS = {
"Authorization": f"Bearer {os.environ['API_TOKEN']}",
"Content-Type": "application/json",
}
class TestUsersAPI:
created_user_id = None
def test_create_user(self):
    response = requests.post(
        f"{API_URL}/users",
        json={"name": "Test User", "email": "test@example.com", "role": "developer"},
        headers=HEADERS,
    )
    assert response.status_code == 201
    data = response.json()
    assert "id" in data
    TestUsersAPI.created_user_id = data["id"]

def test_get_user(self):
    response = requests.get(
        f"{API_URL}/users/{self.created_user_id}",
        headers=HEADERS,
    )
    assert response.status_code == 200
    assert response.json()["email"] == "test@example.com"

def test_get_nonexistent_user(self):
    response = requests.get(f"{API_URL}/users/99999", headers=HEADERS)
    assert response.status_code == 404

def test_delete_user(self):
    response = requests.delete(
        f"{API_URL}/users/{self.created_user_id}",
        headers=HEADERS,
    )
    assert response.status_code == 204

REST APIテストのベストプラクティス

1. 実装ではなくコントラクトをテストする

テストはAPIがそのコントラクト（スキーマ、ステータスコード、レスポンス形式）に準拠していることを検証する必要があり、バックエンドが内部的にどのように実装しているかを検証するものではありません。これによりテストがリファクタリングに対して耐性を持つようになります。

2. 設定には環境変数を使用する

APIのURL、トークン、資格情報をテストにハードコードしないでください。環境変数または設定ファイルを使用します。

3. テストデータの分離を実装する

各テストは独自のデータを作成し、テスト後にクリーンアップする必要があります。別のテストやユーザーが変更する可能性のある既存のデータに依存しないでください。

4. レスポンスのスキーマを検証する

ステータスコードを確認するだけでなく、JSON Schemaバリデーションを使ってレスポンス構造全体を検証してください。

const Ajv = require('ajv');
const ajv = new Ajv();
const userSchema = {
type: 'object',
required: ['id', 'name', 'email', 'role'],
properties: {
id: { type: 'integer' },
name: { type: 'string' },
email: { type: 'string', format: 'email' },
role: { type: 'string', enum: ['developer', 'lead', 'admin'] },
},
};
test('GET /users/:id matches schema', async () => {
const response = await client.get('/users/1');
const validate = ajv.compile(userSchema);
expect(validate(response.data)).toBe(true);
});

5. 認証と認可をテストする

トークンなしのリクエストは401を返す
期限切れトークンのリクエストは401を返す
権限不足のリクエストは403を返す
有効なトークンのリクエストは期待されるデータを返す

6. エラーレスポンスをテストする

エラーパスはハッピーパスと同様に重要です。APIが適切なステータスコードとともに明確で一貫したエラーメッセージを返すことを検証します。

7. エッジケースをカバーする

空のリクエストボディ
非常に長い文字列
特殊文字とUnicode
数値フィールドの境界値
NullおよびUndefinedの値
同じリソースへの同時リクエスト

CI/CDでREST APIテストを自動化する

開発中の手動APIテストは出発点ですが、本番アプリケーションにはすべてのコード変更時に自動テストが実行される必要があります。

GitHub Actionsの例

name: REST API Tests on: push: branches: [main, develop] pull_request: branches: [main]

jobs: api-tests: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - uses: actions/setup-node@v4 with: node-version: '20' - run: npm ci - run: npm run start:test & - run: npx wait-on http://localhost:3000/health - run: npm run test:api env: API_URL: http://localhost:3000

Qodex.aiによる自動化

テストコードを手動で書くことを省きたい場合は、Qodex.aiがAPIの仕様を分析し、包括的なテストスイートを自動生成できます。AIエージェントはハッピーパス、エッジケース、エラー処理、セキュリティの脆弱性のテストを作成し、CI/CDパイプラインに統合します。

REST APIテストツールの比較

詳細な比較については、APIテストツールの比較をご覧ください。RESTテストの簡単な概要は以下のとおりです。

ツール	言語	アプローチ	最適な用途
Postman / Newman	JavaScript	GUI + CLI	手動探索 + CI/CD
Qodex.ai	任意	AI搭載	自動テスト生成
REST Assured	Java	コード	Javaチーム
pytest + requests	Python	コード	Pythonチーム
Jest + axios	JavaScript	コード	Node.jsチーム
Karate DSL	Gherkin	BDD	BDDスタイルテスト