【入門編】 APIのセキュリティにおけるリクエストボディのハッシュ化(Content-MD5/SHA256) – Web APIアーキテクチャ・データ連携実践ガイド

こんにちは！インフラアーキテクトの私です。日々、ネットワークの海を駆け巡るパケットたちや、APIの向こう側で動くサーバーの息吹に思いを馳せています。

Web APIの開発やインフラの構築をしていると、「いかに安全に、確実にデータをやり取りするか」という壁に必ずぶつかりますよね。認証トークンを使ったり、HTTPSで通信を暗号化したり……。そこまでやれば「もうバッチリ安心！」と思っていませんか？

実は、通信の暗号化だけでは防げない「巧妙な罠」が現実の世界には存在します。今回は、そんなセキュリティの隙間を埋め、APIの信頼性をぐっと引き上げる「リクエストボディのハッシュ化（Content-MD5やSHA256）」について、郵便配達の仕組みにたとえながら、一歩ずつ優しく紐解いていきましょう！

—

1. 郵便配達で例える「データの改ざん」という恐怖

まずは、私たちが普段何気なく使っているWeb APIの通信を、身近な「手紙のやり取り」にたとえてみましょう。

あなたが遠くにいる大切な人に、秘密の契約書（リクエストボディ）を送るとします。
「HTTPS（SSL/TLS）」という封筒に入れれば、途中で配達員（悪意ある第三者）が封筒の中を覗き見することはできません。これがいわゆる「暗号化」です。

しかし、ここで一つ疑問が湧きます。
「もし、悪意ある配達員が、封筒を一度巧みに開けて、中の契約書の数字を書き換えてから、何食わぬ顔でピッチリ封をして届けたらどうなるでしょうか？」

封筒の見た目は綺麗に閉じていても、中身の数字が書き換えられていたら……受け取った人は、それが本物のデータだと信じ込んでしまいますよね。これが、Webの世界でいう「リクエストボディの改ざん」です。

どれだけ通信路を暗号化しても、サーバーに届いた「中身そのもの」が途中で書き換えられていないかを証明する仕組みがなければ、本当の意味での安全とは言えません。そこで登場するのが、今回主役となる「ハッシュ値」を使った完全性の保証です。

—

2. ハッシュ化ってなに？「データの指紋」を添える技術

「ハッシュ化」という言葉を聞くと、なんだか難しそうな暗号技術のように感じてしまいますよね。でも、安心してください。一歩ずつ理解していきましょう！

ハッシュ化とは、「どんなに長いデータでも、一定のルールに従って、決まった長さの短い文字列（指紋のようなもの）に変換する魔法の関数」のことです。

例えば、有名な SHA-256 というアルゴリズムを使うとこうなります。

送りたいデータ：「山田太郎」 $\rightarrow$ 変換後：a1b2c3d4...（64文字の文字列）
送りたいデータ：「山田太郎（改ざん後）」 $\rightarrow$ 変換後：f9e8d7c6...（全く違う64文字の文字列）

ここで重要なのは、「元のデータが1文字でも、ほんのスペース1個でも変わると、生み出されるハッシュ値（指紋）は全く別物になる」という性質です。

郵便配達の例えに戻りましょう

今度は、手紙を送るときにこうすることにしました。
1. 手紙を書いたら、その内容を専用の計算機に入れて「指紋（ハッシュ値）」を計算する。
2. 計算した「指紋」を、別の小さなメモに書いて、手紙とは別のルート（あるいはヘッダーなどの別枠）で一緒に送る。
3. 受け取った人は、届いた手紙の現物から自分で「指紋」を計算し、最初に添えられていた「指紋のメモ」と見比べる。

もし、途中で手紙の文字が1文字でも書き換えられていれば、受け取った人が計算した指紋と、メモの指紋は一致しません。「おや？途中で誰かが中身をいじったな！」と、一発で検知できるわけです。

—

3. 実践！HTTPヘッダーにハッシュ値を乗せてみよう

実際のWeb APIでは、この「指紋」をHTTPリクエストのヘッダーに含めて送信します。一般的には Content-MD5 や X-Content-SHA256（カスタムヘッダー）などの名前で送られることが多いです。

それでは、実際にPythonを使って、リクエストボディのSHA-256ハッシュを計算し、ヘッダーに添えてAPIサーバーへリクエストを送信するコードを見てみましょう。

import hashlib
import requests

# 1. APIに送信したいリクエストボディ（JSONデータなど）
request_body = '{"item_id": "A-10082", "quantity": 3}'

# 2. リクエストボディのSHA-256ハッシュ値を計算する
# encode('utf-8')でバイト列に変換し、hexdigest()で16進数の文字列にするのがお約束です
body_hash = hashlib.sha256(request_body.encode('utf-8')).hexdigest()

print(f"計算されたデータの指紋 (SHA-256): {body_hash}")

# 3. HTTPヘッダーにハッシュ値をセットする
headers = {
    "Content-Type": "application/json",
    "X-Content-SHA256": body_hash,  # ここに指紋を添える！
}

# 4. APIサーバーへリクエストを送信
url = "https://api.example.com/v1/orders"
# response = requests.post(url, data=request_body, headers=headers)

print("リクエストを安全に送信しました！")

サーバー側では、受け取った request_body を同じように SHA-256 でハッシュ化し、リクエストヘッダーに含まれていた X-Content-SHA256 の値と一致するかをチェックします。もし一致しなければ、HTTPステータスコード 400 Bad Request や 403 Forbidden を返して処理を拒否するのです。

—

4. 電子署名（HMACなど）と組み合わせることで最強の要塞に

「おっ、ハッシュ値を添えれば改ざんが分かるんだな！」と気づいた鋭いあなた。ここで一つの疑問が浮かぶはずです。

「もし、悪意ある第三者が、中身を書き換えた上で、その書き換えた中身に合わせて『新しいハッシュ値』を再計算して付け替えたらどうなるの？」

その通り！ハッシュ値だけだと、通信路の途中でデータを改ざんして、ハッシュ値ごと偽物にすり替えられてしまうと、受け取側は気づくことができません。

そこで登場するのが、秘密の合言葉（API秘密鍵など）を使った「署名（Signature）」の技術です。
ボディのハッシュ値を計算する際に、自分とサーバーしか知らない秘密の鍵を混ぜ合わせて計算（HMACなどを使用）することで、「誰が送ったデータか（身元確認）」と「改ざんされていないか（完全性）」を同時に保証できる最強の要塞が完成します。

実際のクラウドサービスのAPI（AWSのSignature Version 4など）の裏側でも、このリクエストボディのハッシュ化と署名が泥臭く行われているんですよ。

—

まとめ

今回は、Web APIのセキュリティを底上げする「リクエストボディのハッシュ化」について解説しました。

暗号化（HTTPS）は、通信の「盗聴」を防ぐもの。
ハッシュ化（Content-MD5 / SHA-256）は、通信の「改ざん」を防ぐデータの指紋。
これらを正しく理解し実装することで、APIの信頼性は劇的に向上します。

インフラやネットワークの世界は、一見すると難解な用語の羅列に見えますが、こうして身近な仕組みに置き換えてみると、エンジニアたちの「データを安全に届けたい」という泥臭くて熱い工夫の歴史が見えてきて面白いですよね。

ぜひ皆さんの開発現場やアーキテクチャ設計でも、この「データの指紋」を意識してみてください。それではまた、次の技術の深淵でお会いしましょう！