非公開のAPIのendpointに直接アクセスされないようにする方法

Question

API を作ったのですが非公開なので他人からurlを推測されて検索にかけられたり、endpointに直接アクセスされたくないのですがそれらを防ぐような方法はあるのでしょうか？

Comments

[scsi]

認証処理ではダメな理由がある感じですか？

[maisumakun]

そのAPIは、どのようなアクセス元から使うものですか？（IP固定のマシンから/多数のマシンから/スマホ経由もあり/ブラウザから/アプリから、など）

Answer 1

1. ログイン認証をかけて、ログインしたときにトークン生成
2. 非公開APIにリクエスト送るときはそのトークンが必要、トークンが間違ってたらアクセスを弾く

みたいな感じでどうよ？

Answer 2

案1.Firewallでフィルタリングする。
WEBサーバより前のロードバランサ等で、IPアドレス等によるフィルタリングを行い、APIサーバに通信が到達しないようにする。

案2.api.example.comのドメインに対し、CNAMEでsafsfdakjhsfadjfals.example.comのような値を登録しておき、そのドメインに対するIP解決を公開しない(ローカルPCのhostsファイル等で解決させる)

案3.1と2の合わせ技

基本として、robots.txtの設置等は済ませておくこと。