メインコンテンツまでスキップ

APIの国制限・同一IPからの流量制限を緊急リリースしました

公開日：2026-11-06

不正アクセス対策を強化するため、APIの[セキュリティ]設定に以下の2つの機能を緊急リリースしました。

  • 国制限: APIへのアクセスを、指定した国からのアクセスに限定します。
  • 同一IPからの流量制限: 同じIPアドレスからAPIへ送られるリクエスト数を制限します。

2026-10-20のお知らせでお伝えしたとおり、流出したID・パスワードを用いた不正ログインの試行が増えています。Kurocoのログを解析したところ、最近のAIによる攻撃は単一のIPアドレスから行われるものが多く、同一IPからの流量制限が有効です。ログインAPIなど、外部に公開しているAPIへの大量の試行を抑えるために、本機能の利用をご検討ください。あわせて、APIの権限設定の見直しもお願いいたします。

設定方法​

サイドメニューの[API]から対象のAPIをクリックし、[セキュリティ]をクリックします。表示された画面で各項目を設定して保存します。

国制限​

[アクセス制限]の[国制限]で、APIへのアクセスを許可する国を選択します。複数の国を指定できます。

  • [IPアドレス制限]と[国制限]の両方を指定した場合は、どちらかに当てはまるアクセスを許可します。社外の協力会社など特定の拠点からのアクセスはIPアドレス制限で許可し、一般の利用者は国制限で許可する、といった使い分けができます。
  • 国を判定できないアクセスは、IPアドレス制限で許可されない限り拒否します。
  • 拒否したアクセスには、IPアドレス制限と同じエラー（IP address is out of range.）を返します。拒否の理由が国制限かIPアドレス制限かは、レスポンスからは判別できません。
注意

国の判定はアクセス元のIPアドレスにもとづくもので、必ずしも正確ではありません。実際には国内からのアクセスでも、別の国と判定される場合があります。

国制限を設定する前に、APIログの[国コード]で、どの国からアクセスが来ているかを確認してください。許可する予定のない国からの正常なアクセスがないかを確かめてから、許可する国を決めてください。

また、海外出張中の利用者や、海外のサーバーを経由するVPN・クラウドサービスからのアクセスも拒否の対象になります。APIを利用するすべての接続元を確認してから設定してください。

同一IPからの流量制限​

[同一IPからの流量制限]で、同じIPアドレスから、指定した秒数の間にこのAPIへ送れるリクエスト数を設定します。

項目内容
リクエスト数（Hit）0〜720000の範囲で指定します。空欄または0の場合は制限しません。
秒数（秒）リクエスト数を数える期間です。1〜3600秒の範囲で指定します。初期値は60秒です。
  • リクエスト数は、API内の全エンドポイントへのリクエストの合計で数えます。
  • 上限を超えたリクエストには、429 Too Many RequestsとRetry-Afterヘッダー（再試行できるまでの秒数）を返します。
  • 制限の状況は、以下のレスポンスヘッダーで確認できます。
    • 制限数: x-rcms-ip-ratelimit-limit
    • 残りのリクエスト可能数: x-rcms-ip-ratelimit-remaining
    • リセットされるまでの残り時間: x-rcms-ip-ratelimit-reset
  • CDNキャッシュから返したリクエストは数えません。
  • IPアドレス制限で拒否したリクエストは数えません。IPアドレス制限で許可したIPアドレスからのリクエストは数えます。
  • MCPサーバー（/rcms-api/{api_id}/mcp）へのリクエストは対象外です。
注意

社内ネットワークやモバイル回線などでは、複数の利用者が同じIPアドレスを共有している場合があります。上限は、想定される利用状況に余裕を持たせて設定してください。

エンドポイントの流量制限との違い​

エンドポイントの設定にある[流量制限]は、送信元IPアドレスやアクセストークンごとではなく、エンドポイントに対する全リクエストの合計で数えます。特定のIPアドレスからの大量のリクエストを制限したい場合は、[同一IPからの流量制限]を使用してください。

詳細はエンドポイント 設定項目一覧を参照してください。

Admin MCPでの設定​

Admin MCPのapi-upsertでは、以下のパラメータで設定できます。

機能パラメータ
国制限country_whitelist（ISO 3166-1 alpha-2の国コード。例: JP）
同一IPからの流量制限ip_rate_limit_req（リクエスト数）、ip_rate_limit_slot（秒数）

country_whitelistは、ip_whitelistと同様にmcp:adminスコープでのみ変更できます。

APIの権限設定の見直しのお願い​

国制限や流量制限は、アクセス元や量を制限する機能です。APIで取得・更新できるデータの範囲そのものは、APIの権限設定で決まります。以下の観点で、現在の設定を見直してください。

  • セキュリティの種類: [セキュリティ]がなしのAPIで、非公開のデータを取得・更新できるエンドポイントを公開していないかを確認します。
  • APIリクエスト制限: ログインしたメンバーのみに許可したいエンドポイントで、[APIリクエスト制限]にGroupAuthまたはMemberCustomSearchAuthが設定されているかを確認します。
  • グループの権限: APIを利用するメンバーのグループに、必要以上の権限が付与されていないかを確認します。
  • 静的アクセストークン: 不要になった静的アクセストークンや特権付き静的トークンが残っていないかを確認します。
  • CORS: [CORS]の許可オリジンに、不要なオリジンが含まれていないかを確認します。

設定方法は以下を参照してください。

AIエージェントによるセキュリティ設定の診断​

Admin MCPとKuroco Skillsのkuroco-security-auditを利用すると、APIのセキュリティ方式・CORS・IPアドレス制限、ログイン・パスワードポリシー、2要素認証、権限グループとスーパーユーザー、静的アクセストークンなどの設定を、AIエージェントでチェックリストに照らして点検し、レポートを作成できます。kuroco-security-auditは読み取り専用で、設定は変更しません。

AIエージェントに以下のように依頼して利用します。

「セキュリティ設定に問題がないか確認したい」
「CORS と IP 制限の設定を点検して」
「権限グループとスーパーユーザーを棚卸ししたい」

また、Kurocoチームが設定を診断してリスクと対処方針を報告する、有償のKuroco設定セキュリティ診断もご用意しています。

詳細はセキュリティセンターを参照してください。

Kurocoの今後の取り組み​

AIによる攻撃は今後も進化していくことが見込まれます。Kurocoでは引き続き、セキュリティ対策に重点を置いて機能の強化を進めてまいります。お客様におかれましても、セキュリティ設定の診断などを活用し、堅牢なシステムの構築にご協力をお願いいたします。

お問い合わせ先​

本件についてご不明点がございましたら、Kurocoサポートまでお気軽にお問い合わせください。

関連ドキュメント​

サポート

お探しのページは見つかりましたか？解決しない場合は、問い合わせフォームからお問い合わせいただくか、Slackコミュニティにご参加ください。

フォームから問い合わせをする
Slackコミュニティに参加する