ベース URL
すべての API リクエストは次の URL に送信します。認証
MindFort API は Bearer トークン認証を使用します。すべてのリクエストのAuthorization ヘッダーに MindFort API キーを含めてください。
レート制限
- クライアントごとの制限: 1 分あたり 60 リクエスト
- 全体の制限: 1 分あたり 100 リクエスト
Retry-After: 60 ヘッダーが含まれます。API はエラーメッセージとともに HTTP 429 を返します。
API の対象範囲
公開 REST API は、承認された組織単位の製品機能を公開しています。- ターゲットの一覧表示、取得、作成、更新、確認付きの削除
- テスト用認証情報の作成、ローテーション、メタデータの確認、削除
- カバレッジチェックと集計されたカバレッジの参照
- 有効な場合の候補ターゲットの検出と Discovery の提案の管理
- アセスメントの実行、一覧表示、確認、キャンセル
- 検出結果の一覧表示と取得、ライフサイクルステータスの更新、重大度の上書き、再テスト
- 検出結果のコメント管理と、パッチのサマリーおよび件数の確認
- 検出結果の分析、セキュリティメトリクス、経過日数、修正状況、SLA、ヘルススコアの参照
- レポートの作成、一覧表示、ポーリング、ダウンロード
API では、ターゲットの検証操作、請求管理、API キー管理、組織メンバーシップ、ロール管理は公開していません。これらのワークフローは MindFort Dashboard で完了してください。
REST と MCP
REST と MCP は、組織のスコープに関するルールと主要なリソースの仕様を共有していますが、利用可能な操作、認証、ページネーションは異なります。アセスメントスケジュールの管理は MCP で利用でき、公開 REST ルートはありません。
MCP カタログは明示的に定義されており、選択した組織で利用できない機能ゲートされたツールやスキーマのバリアントは含まれない場合があります。MCP ガイドを参照してください。
ターゲットと認証情報のルール
ターゲットは認証された組織にスコープされます。web_appおよびapiターゲットには、HTTP(S) のweb_domainが必要です。networkターゲットには、ip_addressと組織機能network-targetsが必要です。- REST または MCP で作成されたターゲットは未検証の状態で開始されます。アクティブなテストを開始する前に、ダッシュボードでドメインの所有権またはネットワークの検証を完了してください。
user:password@host形式の認証情報が埋め込まれたターゲット URL は拒否されます。
api_key 認証情報は api ターゲットでのみ有効です。追加する前に、検証用のルート、メソッド、リクエストの形式、キーの配置場所、想定される成功レスポンスを記述した、空でないターゲットレベルの api_auth_instructions を設定してください。
カバレッジ
カバレッジは、アセスメント全体でテストされたセキュリティシナリオを示します。チェックの一覧にはGET /v1/coverage を、集計件数には GET /v1/coverage/overview を使用します。どちらも任意で target_id によるフィルタリングが可能です。
現在の状態は covered、failing、incomplete、in_progress、not_run です。レスポンスには、シナリオの詳細、実行サマリー、関連する検出結果が含まれます。カバレッジは読み取り専用で、チェックと実行履歴はアセスメントによって維持されます。カバレッジを参照してください。
Discovery
Discovery が有効な場合は、/v1/discovery を使用してステータスの確認、コンテキストとスケジュールの設定、実行の開始、候補ターゲットの承認または却下を行います。操作の一覧については、ターゲットの検出を参照してください。
ページネーション
REST の一覧エンドポイントでは、2 種類のページネーション方式を使用します。GET /v1/assessmentsはカーソルによるページネーションを使用します。次のカーソルが返されなくなるまで、返されたpagination.next_cursorの値を次のリクエストのcursorパラメータとして渡してください。- ターゲット、認証情報、カバレッジ、検出結果、コメント、パッチ、レポートのコレクションでは、各エンドポイントのスキーマに記載されたページネーションフィールドを使用します。オフセットベースのレスポンスには
totalが含まれ、カーソルベースのレスポンスでは次のページがある場合にnext_cursorが返されます。
エラー形式
エラーは、一貫した公開 JSON 構造に従います。code フィールドは、認識された対処可能な失敗の場合に含まれます。レスポンスには、安全なフィールド検証の詳細が含まれる場合もあります。サポートに問い合わせる際は、request_id を含めてください。
安定したエラーコードの例は次のとおりです。
target_not_verifiedapi_auth_instructions_requiredassessment_already_runningassessment_credits_insufficientassessment_queue_loadingretest_already_running
Retry-After が含まれる場合があります。HTTP 429 Too Many Requests を受け取った場合は、そのヘッダーで指定された間隔だけ待ってから再試行し、リクエストの頻度を下げてください。組織を共有する連携間で、ポーリングを調整してください。
コンポーネント ID
いくつかの API エンドポイントでは、ターゲット、検出結果、アセスメント、レポートなどのリソースの UUID が必要です。以下では、MindFort ダッシュボードで各 ID を確認できる場所を説明します。ターゲット
Target Inventory に移動し、ターゲットをクリックします。Target ID はターゲットの詳細ページに表示されます。検出結果
GET /v1/findings を使用するか、ダッシュボードで検出結果を開きます。Finding ID は、詳細、コメント、ステータス、重大度、再テストのリクエストで特定の脆弱性を識別します。
一覧の結果は、status、assessment_id、exclude_secured、target_id、severity でフィルタリングできます。パラメータの詳細とダッシュボードとの対応については、Findings API を参照してください。
アセスメント
Assessments を開いて実行を選択し、URL または詳細ビューから Assessment ID をコピーします。その実行の検出結果のみを一覧表示する場合は、これをassessment_id として使用します。
各ステージを追跡するには、アセスメントの詳細にある stage_progress を使用します。NOT_STARTED はステージの状態がまだ記録されていないことを、RUNNING または ACTIVE は処理が進行中であることを示し、その他の値は最終結果です。失敗した実行には、問題を説明する failure_reason が含まれる場合があります。
認証情報
ターゲットの認証情報を一覧表示して、認証情報 ID と安全なメタデータを取得します。認証情報 ID は、認証済みのアセスメントを実行する場合や、認証情報をローテーションまたは削除する場合に使用します。認証情報の一覧レスポンスにはメタデータのみが含まれます。レポート
POST /v1/reports でレポートを作成し、準備ができるまで GET /v1/reports/{report_id} をポーリングしてから、GET /v1/reports/{report_id}/download を呼び出して有効期限の短いダウンロード URL を取得します。
Content Type
すべてのエンドポイントはapplication/json を受け付け、返します。JSON ボディを含むリクエストには、次のヘッダーを含める必要があります。