スキル api-spectral

🛡️

api-spectral

Name: api-spectral
Author: AgentSecOps

安全 ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚡ スクリプトを含む

APIスペックをセキュリティ標準に対して検証する

APIは、誤った設定のスペックによってセキュリティ脆弱性を露出することがよくあります。SpectralはOpenAPIおよびAsyncAPIの定義をOWASP API Security Top 10に対して検証し、デプロイ前に認証の欠陥、認可の問題、データ露出リスクを検出します。

対応: Claude Codex Code(CC)

🥉 75 ブロンズ

スキルZIPをダウンロード

Claudeでアップロード

設定 → 機能 → スキル → スキルをアップロードへ移動

オンにして利用開始

テストする

「api-spectral」を使用しています。 APIスペックのセキュリティ問題をスキャンする

期待される結果:

Critical Issues Found: 2
- Missing security scheme definition (OWASP API2:2023)
- HTTP Basic authentication detected (OWASP API2:2023)
Warnings: 5
- Server URL uses HTTP instead of HTTPS (OWASP API8:2023)
- No rate limiting headers documented (OWASP API4:2023)
- No pagination on list endpoint (OWASP API4:2023)
Compliant: 12 checks passed

「api-spectral」を使用しています。 APIのOWASPルールセットを生成する

期待される結果:

Created spectral-owasp.yaml with rules for:
- API1:2023 Broken Object Level Authorization
- API2:2023 Broken Authentication
- API3:2023 Broken Object Property Level Authorization
- API7:2023 Server Side Request Forgery
- API8:2023 Security Misconfiguration
- API9:2023 Improper Inventory Management

セキュリティ監査

安全

v5 • 1/16/2026

This is a documentation-only skill containing YAML configuration files and markdown guides for API security validation using Spectral. No executable scripts exist. All static findings are false positives triggered by example code patterns in documentation, YAML rule definitions that detect security issues (not use them), and CI/CD template placeholders.

スキャンされたファイル

3,978

解析された行数

検出結果

総監査数

リスク要因

⚙️ 外部コマンド (224)

🌐 ネットワークアクセス (31)

📁 ファイルシステムへのアクセス (9)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 assets/github-actions-template.yml:104 assets/github-actions-template.yml:103 assets/github-actions-template.yml:104 assets/github-actions-template.yml:128 references/custom_rules_guide.md:420 SKILL.md:365 SKILL.md:370

🔑 環境変数 (27)

⚡ スクリプトを含む (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

監査者: claude 監査履歴を表示 →

品質スコア

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

100

セキュリティ

仕様準拠

作れるもの

API設計を検証する

実装コードを書く前にOpenAPIスペックのセキュリティ問題をチェックする

セキュリティ標準を強制する

開発チーム全体で組織全体のAPIセキュリティルールセットを作成および配布する

セキュリティスキャンを自動化する

GitHub ActionsまたはGitLab CIを使用してAPIスペック検証をCI/CDパイプラインに統合する

これらのプロンプトを試す

クイックセキュリティスキャン

api-spectralスキルを使用して、[file path]にあるOpenAPIスペックをセキュリティ問題についてスキャンしてください。検出結果を重要度別にグループ化し、それぞれをOWASP API Security Top 10カテゴリにマッピングして報告してください。

カスタムルールセットを作成する

api-spectralスキルを使用して、すべてのエンドポイントでHTTPSを要求し、HTTP Basic認証を禁止し、APIスペックにレート制限ヘッダーを義務付けるカスタムSpectralルールセットを作成してください。

CI/CD統合

api-spectralスキルを使用して、すべてのプルリクエストでapi-specs/ディレクトリ内のすべてのOpenAPIファイルをOWASPルールセットに対して検証するGitHub Actionsワークフローを生成してください。

修復ガイダンス

api-spectralスキルを使用してSpectralスキャン結果を分析し、各検出結果に対する具体的な修復手順を、修正されたYAMLの例と関連するOWASPガイドラインへの参照を含めて提供してください。

ベストプラクティス

コードレビュー前に問題を検出するため、pre-commitフックにSpectralスキャンを統合する
ノイズを減らすため、最初はエラー重要度のルールのみから始め、段階的に警告を追加する
ルールセットをバージョン管理し、ルール変更にはピアレビューを要求する

回避

APIスペックの変更ごとではなく、時々しかSpectralを実行しない
情報提供目的の検出結果をセキュリティコンテキストをレビューせずに無視する
すべてを警告としてフラグ付けする過度に寛容なルールセットを使用する

よくある質問

Spectralはどのスペックをサポートしていますか?

SpectralはOpenAPI 2.x、3.x、AsyncAPI 2.x、およびArazzo 1.0スペックをYAMLまたはJSON形式で検証します。

Spectralをどのようにインストールしますか?

npm経由でインストール: npm install -g @stoplight/spectral-cli またはDockerを使用: docker pull stoplight/spectral

SpectralをCI/CDパイプラインに統合できますか?

はい、SpectralはJSON出力とGitHub Actions形式をサポートしています。マシン出力には--format jsonを使用し、ビルドを失敗させるには--fail-severity errorを使用してください。

このスキルはシステム上でコードを実行しますか?

いいえ、このスキルはドキュメントとYAMLテンプレートのみを提供します。npmまたはDockerを使用してSpectralを別途インストールして実行する必要があります。

なぜ誤検出が発生するのですか?

最初は--fail-severity errorで重要度のしきい値を下げてください。正当な例外があるパスやエンドポイントを除外するには、ルールオーバーライドを使用してください。

これはAPIセキュリティテストツールとどう違いますか?

SpectralはAPIスペック(設計時)を検証しますが、ZAPやBurpなどのツールは稼働中のAPI(実行時)をテストします。完全なカバレッジのために両方を使用してください。

開発者の詳細

作成者

AgentSecOps

ライセンス

MIT

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/api-spectral

参照

main

ファイル構成

📁 assets/

📄 ci-config-template.yml

📄 github-actions-template.yml

📄 rule-template.yaml

📄 spectral-owasp.yaml

📁 references/

📄 custom_rules_guide.md

📄 EXAMPLE.md

📄 owasp_api_mappings.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md