Show HN: Burp/Caidoの代替となる、セットアップ不要の無料APIテストツールを開発
Show HN: I built a free Burp/Caido alternative but, zero setup - API Testing
開発者は、セットアップ不要で利用できる無料のAPIテストツール「apiaxess」を開発した。このツールは、17個のドキュメント化されたエンドポイントを持つリファレンスAndroidアプリ(Retrofit, OkHttp, HttpURLConnection, GraphQL対応)を用いてテストされた。静的解析で全てのファントムエンドポイントを検出し、ライブキャプチャ機能でアプリ実行中に通信を復号化し、両方のクライアントからの通信をキャプチャできる。01Mobile機能では、証明書が事前に信頼されているスマートフォン環境でAPKをインストールしてトラフィックを読み取ることが可能。02Web機能では、プロキシ経由でルーティングされた隔離されたプロファイル上のChromiumブラウザを使用し、ユーザーのブラウザには影響を与えない。03Workbench機能では、リクエストの再生や、スロットリングなしのIntruderクラスの攻撃(4種類)を実行できる。04Export機能では、OpenAPI 3.1、Postman、HAR、Pythonクライアント形式で仕様をエクスポートできる。apiaxessは、エンドポイントを「確認済み」または「コードから推測」といったラベル付けを行い、ユーザー自身のトラフィックが他のデータと混ざらないようにする。証明書のピンニングが破れない場合など、実行不可能な操作については空リストではなく、その旨を通知する。Apache-2.0ライセンスで公開されており、コードの確認やビルドが可能で、テレメトリは含まれていない。
- セットアップ不要の無料APIテストツール「apiaxess」が公開された。静的解析で全ファントムエンドポイントを検出し、アプリ実行中の通信復号・キャプチャに対応する。
- プロキシ経由の隔離プロファイル上でChromiumを動かすWeb機能と、事前に証明書を信頼させた端末にAPKを入れるMobile機能を提供し、ユーザー環境に影響を与えずにトラフィックを取得できる。
- Workbenchでリクエスト再生とスロットリングなしのIntruder級攻撃(4種)を実行でき、OpenAPI 3.1・Postman・HAR・Pythonクライアント形式へのエクスポートにも対応する。
- エンドポイントを「確認済み」「コードから推測」とラベル付けし、証明書ピンニングで破れない場合など実行不可の操作は空リストではなく明示的に通知する設計を採用。
- Apache-2.0ライセンスで公開されコード確認・ビルドが可能で、テレメトリは含まれていない。
- 商用APIセキュリティテストツールであるBurp SuiteおよびCaidoの代替を想定した位置づけのツールである。
Burp SuiteやCaidoといった商用APIセキュリティテストツールの代替を狙う無償・OSS(Apache-2.0)ツールの登場。セットアップ不要で静的解析とライブキャプチャ、Intruder級の攻撃再現、OpenAPI 3.1等へのエクスポートまでを一気通貫で提供する点は、APIセキュリティ検証の裾野を広げ、既存商用ツールの価格支配力に対する中期的な圧力になり得る。ただし現時点では個人開発のShow HN段階で収益モデルや企業導入実績は示されておらず、投資対象としての直接的な示唆は限定的。今後の商用化・エンタープライズ対応・大手との統合の有無を注視したい。