API Scanner - セルフホストデプロイメント

API Scanner は、OpenAPI/Swagger 仕様書と WSDL ファイルを使用して REST および SOAP API の脆弱性をスキャンする、自動化された API セキュリティテストツールです。

前提条件

• Docker Engine 20.10+
• Docker Compose v2
• Python 3.6+（セットアップスクリプト用）
• 8 GB 以上の RAM（推奨: 16 GB）
• 20 GB のディスク容量

クイックスタート

1. このリポジトリをクローン

git clone https://github.com/CSPF-Founder/api-scanner-docker.git
cd api-scanner-docker

2. セットアップを実行

python3 setup.py

スクリプトは以下の処理を行います:

• 全サービスの安全なランダムパスワードを生成
• タイムゾーンを自動検出
• 自己署名 TLS 証明書を生成（./certs/ に既存の証明書がある場合はそれを利用）
• .env 設定ファイルを作成
• Docker Compose スタックの起動を提案

3. パネルにアクセス

ブラウザで https://localhost:4455 を開きます。

自己署名証明書を使用している場合、ブラウザにセキュリティ警告が表示されますが、続行して受け入れてください。

手動セットアップ

セットアップスクリプトを使わず手動で設定する場合:

1. 環境ファイルのサンプルをコピー:

cp .env.example .env

2. .env を編集し、以下を更新:

   • すべての change_me_* パスワードを強力なランダム値に変更
   • CSRF_KEY を 32 文字以上のランダムな文字列に変更
   • ZAP_API_KEY をランダムな文字列に変更
   • TRUSTED_ORIGINS を自分のドメインに変更（例: https://scanner.yourcompany.com）
   • DATABASE_URI と MONGO_DATABASE_URI のパスワードが個別のパスワード変数と一致することを確認

3. スタックを起動:

docker compose up -d

アーキテクチャ

設定

すべての設定は .env ファイルで行います。利用可能な全オプションは .env.example を参照してください。

主要設定

データの永続化

すべてのデータは Docker の名前付きボリュームに保存されます:

• mariadb_data - ユーザーアカウント、ロール、セッション
• mongodb_data - スキャンレコード、結果、レポート
• scanner_data - ワークファイル、アップロードされた仕様書、生成されたレポート

アップデート

docker compose pull
docker compose up -d

停止

docker compose down

すべてのデータを削除する場合（破壊的操作）:

docker compose down -v

トラブルシューティング

ログを確認:

docker compose logs api-scanner
docker compose logs zap

サービスの健全性を確認:

docker compose ps

ZAP が起動しない場合: 最低 4 GB の空き RAM を確保してください。ZAP は約 3 GB を必要とします。

パネルにアクセスできない場合: TLS 証明書が ./certs/ にあり、TRUSTED_ORIGINS がポート番号を含む URL と一致していることを確認してください（例: https://localhost:4455）。

データベース接続エラー: 初回起動後、データベースの初期化に 30〜60 秒お待ちください。

ドキュメント

完全なユーザーマニュアル: https://cspf-founder.github.io/api-scanner-docker/