Hawk 認証

Hawk 認証は、シンプルで柔軟かつ安全な認証メカニズムを提供するように設計された、HTTP リクエストベースの認証プロトコルです。HMAC（Hash-based Message Authentication Code）を使用して暗号署名を作成し、リクエストの真正性と完全性の両方を検証します。

Hawk は、OAuth の複雑さを伴わずに強力なセキュリティを必要とする API に特に有用であり、サービス間通信のための軽量な代替手段を提供します。

基本設定

必須の Hawk 認証パラメータを設定します。

アルゴリズムの選択

アルゴリズムは、API プロバイダーが期待するものと一致している必要があります。最新の実装には SHA-256 が推奨されますが、レガシーシステム向けに SHA-1 もサポートされています。

追加の Hawk パラメータを設定するには、More オプションをクリックします。空欄のままにすると、自動的に生成されます。

パラメータ	説明	目的
User	ユーザー識別子	リクエストを実行するユーザーを識別します
Nonce	クライアントが生成するランダムな文字列	リクエストの一意性を保証することで、リプレイ攻撃を防止します
ext	アプリケーション固有の情報	API リクエストとともに送信されるカスタムデータです
app	アプリケーション識別子	認証情報を特定のアプリに紐付けることで、認証情報のなりすましを防止します
dlg	委任アプリケーション ID	認証情報を発行したアプリケーションを識別します
Timestamp	Unix タイムスタンプ	時間枠外のリクエストを防止します（リプレイ攻撃対策）
Include payload hash	チェックボックスオプション	有効にすると、リクエストペイロードのハッシュを署名に含めます

リプレイ攻撃の防止:

Timestamp: リクエストが特定の時間枠内でのみ有効であることを保証します

Nonce: 各リクエストが一意であり、再利用できないことを保証します

認証情報のバインディング:

app: 攻撃者が他のアプリケーションに発行された認証情報を使用することを防止します

dlg: どのアプリケーションが認証情報を委任したかを追跡します

自動生成

Apidog は、空欄のままの場合に Timestamp と Nonce の値を自動生成し、手動設定なしで適切なセキュリティを確保します。

ペイロードハッシュ

API がリクエストボディの完全性の検証を必要とする場合は、「Include payload hash」を有効にします。これにより、ペイロードが署名計算に追加され、リクエストボディの改ざんを防止できます。