Skip to main content
Authlete 2.x のドキュメントは 2.x 版をご覧ください。

​
FAPI とは

OpenID Foundation 傘下のワーキンググループが策定を進めている FAPI は、安全かつ相互運用可能な API 通信を実現するための標準規格です。金融業界に加えて、医療分野や電子政府など、高いセキュリティが要求される分野で重要な役割を果たしています。 FAPI は OAuth 2.0 と OpenID Connect を基礎としています。FAPI 1.0 に始まり、現在は最新版の FAPI 2.0 まで発展しました。FAPI 2.0 では最新のプロトコルを採用することでよりセキュアなデータ保護を可能にする一方、FAPI 1.0 よりもシンプルな実装ができるようになっています。

​
FAPI セキュリティプロファイル

仕様群の中でも FAPI セキュリティプロファイルは、金融サービスに限らず、標準的な OAuth もしくは OpenID Connect を超える高度なセキュリティが求められる分野のオンラインサービスに対して適用可能です。FAPI セキュリティプロファイルには FAPI 1.0 と FAPI 2.0 があり、Authlete はいずれもサポートしています。

​
FAPI 1.0

FAPI 1.0 は 2 つのパートに分かれています。 このうち後者の “FAPI Part 2” では、OAuth 2.0 だけではなく OpenID Connect 仕様に定義されている高度な機能を積極的に活用しています。主な機能強化点は以下の通りです。

​
FAPI 2.0

FAPI 2.0 は、API セキュリティの向上を目的とした包括的なフレームワークです。大きく以下の 4 つの要素に分類されます。
  • FAPI 2.0 Security Profile FAPI 2.0 の中核を成すプロファイル。PAR や DPoP といった最新のセキュリティ仕様群を活用する
  • FAPI 2.0 Message Signing Profile OAuth 2.0 をベースとしたリクエスト・レスポンスに対して、否認防止 (non-repudiation) のメカニズムをサポートするためのプロファイル
  • FAPI 2.0 Attacker Model API セキュリティを実現する上での潜在的リスクと、その防止策を規定する
  • Grant Management for OAuth 2.0 OAuth 2.0 を拡張し、クライアントアプリケーションに付与された権限を管理するための仕組みを定義する
FAPI 2.0 のプロファイル名は策定の過程で変更されています。「Baseline Profile」は「Security Profile」に、「Advanced Profile」は「Message Signing Profile」に改名されました。古い名称を用いた資料や設定値を参照する際はご注意ください。
概要は以下をご参照ください。
  1. 世界最先端の API セキュリティー技術、実装者による『FAPI（Financial-grade API）』解説 Financial-grade API（通称 FAPI; ファピ）は、OpenID Foundation の Financial-grade API ワーキンググループが策定した技術仕様です。OAuth 2.0 と OpenID Connect（以降 OIDC）を基盤とし、より高い API セキュリティーを必要とする金融業界および他の様々な業界のため、追加の技術要求事項を定めています。
  2. Financial-grade API (FAPI) 勉強会 2022 年 1 月 12 日に開催した弊社勉強会のプレゼンテーション録画です。FAPI の概要、および 2021 年 3 月に公開された FAPI 1.0 を解説します。また、FAPI 2.0 の最新動向もご紹介します。
  3. FAPI 2.0 の概要 FAPI 2.0 の構成要素と、FAPI 1.0 から FAPI 2.0 に至る仕様策定の経緯を解説した記事です。FAPI 2.0 を理解する上で前提となる仕様群も紹介しています。

​
Authlete と FAPI

Authlete では、2018 年 7 月以降、FAPI をサポートし、2019 年 4 月以降 Financial-grade API Certification を取得しています。 詳細は、以下のドキュメントをご参照ください。
  • FAPI の機能を利用する Authlete がどのプロファイルを適用するかを決める方法を、FAPI 1.0 と FAPI 2.0 の両方について説明します。各プロファイルの詳細ページへの入口でもあります。
  • FAPI モードにおける追加検証項目 標準の OAuth 2.0 および OpenID Connect 用の検証項目に加えて、FAPI モードにおいて追加で実行される検証項目について説明します。
  • FAPI Basics Authlete を利用した Financial-grade API - Part 2: Read and Write API Security Profile （以下 FAPI）対応のアイデンティティ・プロバイダーを構築する手順を通じて、同仕様が規定するセキュリティ条項の概要と Authlete の設定方法を紹介します。
  • FAPI Basics Supplement: Integration with Reference Implementations Financial-grade API (FAPI) Basics を通じて設定した Authlete に、リファレンス実装を統合し、動作を確認するチュートリアルです。
  • FAPI 2.0 FAPI 2.0 セキュリティプロファイルとメッセージ署名プロファイルの概要、および Authlete でそれらをサポートするための記事の一覧です。