API テスト ツールが活躍するのは、そもそも何をテストするか分かっているときだけだ
Postman、Insomnia、Bruno、Hoppscotch。どれを選んでもいい。無料で数分で仕様を生成して（サインアップなし）、ツールに実際のエンドポイントをぶつけてみろ。
APIのテストは、もっとも一般的なAPI関連作業だ
APIテストツールが本当に活躍する仕事
エンドポイントをサッと叩く
リクエストを送って、レスポンスを読んで、ヘッダーを微調整する。使い捨てスクリプトを書くより速い。
フローを保存して、何度も繰り返す
認証呼び出し、本リクエスト、クリーンアップ。一度保存したシーケンスは、APIが変わるたびに再実行できる。
デプロイ前に問題を見つける
保存したコレクションをデプロイ前に実行すれば、壊したエンドポイントがわかる。わざわざ覚えておく必要がない。
まだできていないバックエンドをモックする
フロントエンドが期待するレスポンス形状をスタブしておいて、それに対して開発を進める。本当のAPIができたら差し替える。
本番で使う認証フローをテストする
OAuthリダイレクト、リフレッシュトークン、有効期限付きキー。アプリコード内に埋め込むより、ツール上で試す方が楽だ。
動く例をだれかに渡す
長い文章より、動くコレクションの方が、APIドキュメントになる。本当に実行できるから。
本当のトレードオフ五つ、正解は一つじゃない
どのツールの名前が有名かで選ぶんじゃなくて、誰がコレクション を共有するのか、トークンをどこに置きたいかで選べ。
| 機能 | Postman | Insomnia | Bruno | Hoppscotch |
|---|---|---|---|---|
| コレクションの保存先 | デフォルトではクラウドに同期 | ローカル、オプションでクラウド同期可 | コード隣のプレーンファイル、Git対応 | アカウント内またはセルフホストインスタンス |
| 無料枠 | クラウド同期と共有人数に上限あり | ローカル単独利用は手厚い | 完全オープンソース、制限なし | オープンソース、制限なし |
| CI対応 | Newman | Inso CLI | Bruno CLI | hoppscotch-cli |
| おすすめの用途 | チームで一つのワークスペースを共有する場合 | ローカル優先のデスクトップアプリを使いたいソロ開発者 | APIコレクションをGitで管理したい開発者 | ブラウザ上で完結させたい開発者 |
ツールを選ぶ前に、APIをスコープしよう
よくある失敗は、ツール選択の失敗じゃなくて、APIをまったく定義しないままツールを開く、というやつだ。本当のエンドポイント3つ、認証モデル、その機能全体が依存する1つのフロー、これらを名前で言えなきゃ、どのテストツール使っても救いようがない。まだ設計も終わってないものをテストしようとしてる。whatshouldibuildnext.com のジェネレータは、ラフなプロジェクトアイデアを、エンドポイント名と推奨スタック付きの仕様に変えてくれる、2分で。Postman、Insomnia、Bruno を開く前に、何か確かなものがある。
- 無料、クライアント側実行、サインアップ不要
- テストすべき実際のエンドポイントが名前付きで出てくる
- 最初にモックすべき統合が1つ、見える化される
本当の問題は、トークンをどこに置くか、だ
どのツール使うかという話は、最後は二つの心配に収束する。共有の価値があるのか、そして秘密情報はどこに住むのか。Postman のクラウド同期は、クライアントやチームメイトとコレクションを共有するのは楽だ。その代わり、ステージング環境の API キーが、リポジトリの外の、どこか別の場所に住むことになる。Bruno と Hoppscotch のローカル優先またはセルフホスト選択肢なら、コレクションをコード隣のプレーンファイルで管理できる。代わりに Postman ほどの機能は手に入らない。どっちにしろ、環境変数でキーとトークンを管理しろ。リクエストに直打ちするなんて絶対にするな。後で共有したり同期したりするときに、生きたクレデンシャルが漏れる。
午後一杯でAPIをテストする
-
1
エンドポイントをまずスコープする
今から実装するもの、その3〜5本のルート、大事な1つのフロー、この段階では対応しないもの。これらをリストアップする。
-
2
ハッピーパスを手動でテストする
エンドポイント1つあたりリクエスト1本、本物のペイロード、実際のレスポンスを読む。これだけで、ツールの価値のほとんどが出てくる。
-
3
コレクションで保存する
リクエストをグループにまとめて、認証ステップを追加して、互いに依存するやつら（前のリクエストの出力が次に必要、みたいな）をチェーンする。
-
4
失敗すべきリクエストを足す
間違ったトークン、必須フィールド忘れ、レート制限。ハッピーパスだけ対応する API は、誰か別の人が使い始めた1週目に壊れる。
-
5
CI に組み込む、本当に必要になったら
1日目じゃなくて、API が本当のユーザーを持つようになったら。そしたら、毎回のプッシュでコレクションを実行して、エンドポイントが壊れたら、だれかの午後じゃなくてビルドを失敗させる。
よくある質問
curl 一本で十分じゃないのか。専用ツールが必要？
サイドプロジェクト一人でやる場合、どのAPIテストツール選べばいい？
APIキーをテストツール内の保存リクエストに入れるのは安全か。
APIテストツールは自動テストの代わりになるのか。
まともな API テストツール、いくらかかる？
実際に何から先にテストすべき？
実際に何を作ってこれをやれば、練習になる？
API を定義してから、テストツールを選ぼう
無料の仕様ジェネレータ、クライアント側実行、サインアップなし。エンドポイントと推奨スタック出してから、既に使ってるツール開けばいい。