OAuth 2.0

OAuth 2.0 は、サードパーティアプリケーションが HTTP サービス上のユーザーアカウントへの限定的なアクセス権を取得できるようにする、広く使用されている認可フレームワークです。Apidog は仕様に従って OAuth 2.0 トークンを直接生成し、リクエストに自動的に添付できます。そのため、外部ツールでトークンを生成する必要がありません。

認可グラントタイプ

OAuth 2.0 は複数の認可グラントタイプをサポートしており、それぞれ異なるユースケースに適しています。アプリケーションの要件と API プロバイダーの仕様に基づいて、適切なグラントタイプを選択してください。

グラントタイプ	ユースケース	セキュリティ	使用するタイミング
Authorization Code	サーバーサイド Web アプリ	高	Web アプリケーションで最も一般的なフロー
Authorization Code (With PKCE)	モバイル/SPA アプリ	非常に高	パブリッククライアント向けの強化されたセキュリティ
Implicit	ブラウザベースのアプリ（レガシー）	中	非推奨です。代わりに PKCE を使用してください
Password Credentials	信頼されたファーストパーティアプリ	中	ユーザー名/パスワードの直接交換
Client Credentials	マシン間通信	高	サービス間認証

グラントタイプの選択

API プロバイダーの要件に一致するグラントタイプを選択してください。誤ったグラントタイプを使用すると、認証に失敗します。

設定: Authorization Code

Authorization Code フローは、Web アプリケーション向けの最も安全で一般的に使用される OAuth 2.0 フローです。

必須フィールド

フィールド	説明	ソース
Auth URL	認可エンドポイント URL	API プロバイダーの OAuth ドキュメント
Access Token URL	トークンエンドポイント URL	API プロバイダーの OAuth ドキュメント
Callback URL	アプリケーションのリダイレクト URI	アプリケーション（プロバイダーへの登録が必要）
Client ID	アプリケーション識別子（App ID）	API プロバイダーの開発者コンソール
Client Secret	アプリケーションシークレット（App Secret）	API プロバイダーの開発者コンソール

トークンの取得

OAuth 2.0 設定ですべての必須フィールドに入力します

Get Token ボタンをクリックします

ブラウザにログインページがポップアップ表示されます

ログインと認可プロセスを完了します

ログインページが自動的に閉じます

トークンが自動的に取得され、表示されます

トークンの取得に成功すると、トークンの内容と有効期間がインターフェースに表示されます。Run ボタンをクリックすると、生成されたトークンは Bearer プレフィックス付きで Authorization ヘッダーに自動的に添付されます。

トークンタイプの選択

OAuth 2.0 サービスが Access Token と ID Token の両方を返す場合、Apidog はデフォルトで Access Token を使用します。

トークンタイプの切り替え

代わりに ID Token を使用するには、「Token Type Used」オプションで ID Token を選択します。これは、OpenID Connect（OIDC）実装を扱う場合に便利です。

トークンの更新

Refresh Token が利用可能な場合:

Refresh Token ボタンが表示されます

クリックすると、再認証せずに新しいアクセストークンを取得できます

ログインウィンドウはポップアップ表示されません

Refresh Token が利用できない場合:

Obtain Token Again ボタンをクリックします

再認証のためにログインウィンドウがポップアップ表示されます

ログインアカウントの切り替え

OAuth 2.0 のログインページは通常、ログイン状態を記憶します。アカウントを変更するには、次の手順を実行します。

Clear Cookies ボタンをクリックします

Obtain Token をクリックします

別のアカウントでログインします

詳細設定

追加の OAuth 2.0 パラメータを設定するには、Advanced オプションをクリックします。空白のままにすると、自動的に生成されます。

設定	説明	目的
Scope	認可スコープ	アクセスされるリソースの範囲を制限します
State	ランダム文字列パラメータ	クロスサイトリクエストフォージェリ（CSRF）攻撃を防止します
Credentials	クライアント認証情報の送信方法	`Send as Basic Auth header` または `Send client credentials in body`
Refresh Token URL	カスタム更新エンドポイント	Access Token URL と異なる場合に使用します
HTTP Authorization Prefix	ヘッダー内のトークンプレフィックス	デフォルトは `Bearer` です。必要に応じてカスタマイズします

セキュリティのベストプラクティス

CSRF 攻撃を防止するため、常に State パラメータを使用してください。空白のままにすると、Apidog がこれを自動的に生成します。

FAQ

Apidog が OAuth2.0 認証で使用する公式リダイレクト URI は何ですか？

Apidog で API の OAuth2.0 認証を設定する際、認可サーバーまたはクライアント設定に公式リダイレクト URI を登録する必要がある場合があります。これにより、OAuth フローを正常に完了でき、認可後に Apidog がアクセストークンを受け取れるようになります。

✅ Apidog の公式リダイレクト URI:

https://oauth.apidog.com/v1/browser-callback

📌 使用するタイミング:

API が OAuth2.0 Authorization Code Flow を使用しており、クライアント設定（OAuth プロバイダーまたは Identity Platform など）を構成している場合は、この URI を「Redirect URIs」または「Callback URLs」フィールドに追加してください。

認可グラントタイプ#

設定: Authorization Code#

必須フィールド#

トークンの取得#

トークンタイプの選択#

トークンの更新#

ログインアカウントの切り替え#

詳細設定#

FAQ#

認可グラントタイプ

設定: Authorization Code

必須フィールド

トークンの取得

トークンタイプの選択

トークンの更新

ログインアカウントの切り替え

詳細設定

FAQ