使い方
- session.har
HAR を開く
- Cookie・AuthorizationURL のトークン・JWT など
秘密の値を置き換える
- session_redacted.har取り残しを警告
前後を比べて保存
開発者ツールの Network タブで「HAR を保存（Save all as HAR）」した .har を、ドロップするか「ファイルを選択」で読み込みます。「サンプルで試す」でも動作を確認できます。
伏せる対象（Cookie・Authorization・秘密らしいヘッダー・URL のクエリ・リクエスト本文・JWT など）を確認します。メールアドレスと電話番号は任意で追加できます。
レスポンス本文は「機密らしい値だけ伏せる」「本文ごと削除」「触らない」から選びます。伏せ方は [REDACTED] か、同じ値は同じ記号にする方式です。
「伏せた箇所」の件数と「伏せきれていない可能性のある箇所」を確認し、リクエスト一覧から URL を選んで元と伏せ字後を見比べます。
「伏せ字の .har を保存」で書き出します。Chrome・Firefox の HAR ビューアで開けます。送る前に中身を一度ご自身でも確認してください。
できること
Cookie・認証ヘッダー・URL を種類別に処理
Cookie と Set-Cookie は名前と属性（Path・HttpOnly など）を残して値だけを伏せます。Authorization は「Bearer」などの方式を残し、URL は token・code・state・session・key・password などの名前のクエリとフラグメント、ユーザー情報を伏せます。
本文は形式ごとに判断
JSON は項目名から password・token・secret などを見つけ、フォームはパスワード欄を伏せます。HTML の password 入力と、CSRF トークンらしい hidden 入力の値も対象です。base64 で保存された本文は、文字として読めるものだけ検査します。
JWT と既知のキー形式は秘密情報スキャナーの規則を再利用
AWS・GitHub・Slack・Stripe・Google・OpenAI 形式のキー、JWT、秘密鍵、DB 接続文字列などを、項目名に関係なく本文・ヘッダー・URL から探します。
伏せきれていない可能性を知らせる
画像・バイナリの本文、multipart の本文、WebSocket のメッセージのように判断できない箇所と、伏せたあとも残るランダムに見える長い文字列を、警告として一覧にします。
大きな HAR でも固まりにくい
読み込みと伏せ字処理は Web Worker で行い、進捗と中止ボタンを表示します。サイズの上限は 100 MB です。表示は先頭の一部に絞り、保存は全件を元の構造のまま書き出します。
こんなときに
- サポート窓口やベンダーに HAR を送る前に、Cookie やトークンを消したい
- 社内の障害報告・Issue に HAR を添付する前に、パスワードや個人情報を伏せたい
- 同じセッション ID・トークンが何度も出てくる通信を、相関を保ったまま共有したい
- HAR ファイルの中に何が入っているかを、リクエスト一覧と前後比較で確認したい
対応状況
| 機能 | 対応 | 補足 |
|---|---|---|
| Cookie・Set-Cookie・cookies 配列、Authorization の伏せ字 | 対応 | — |
| URL のクエリ・フラグメント・ユーザー情報、Referer・Location の伏せ字 | 対応 | — |
| JSON・フォーム・HTML の本文にある機密らしい項目の伏せ字 | 対応 | 項目名で判断するため、名前から分からない値は残ります |
| JWT・既知のキー形式の検出 | 対応 | — |
| メールアドレス・電話番号の伏せ字 | 一部対応 | 任意。電話番号はハイフン・空白区切りのみ |
| 同じ値を同じ記号にして相関を保つ | 対応 | — |
| 独自形式のトークン・会話文中の個人情報 | 一部対応 | 項目名や形式で判断できないものは検出できません。警告で長い文字列を知らせます |
| 画像・PDF・その他バイナリの中の文字 | 非対応 | 検査せず、警告に出します |
| 複数の HAR をまとめて処理 | 非対応 | 1 回に 1 ファイル |
| すべての秘密を見つける保証 | 非対応 | — |
制限・注意事項
- 補助ツールです。すべての秘密や個人情報を見つける保証はありません。共有する前に、警告と前後比較を確認し、必要なら本文を「削除」にしてください。
- ファイルは 1 つずつ、100 MB までです。大きいと、ブラウザのメモリが足りず処理できないことがあります。
- リクエスト一覧は先頭 300 件、警告は先頭 100 件までを表示します（書き出しは全件が対象）。1 リクエストの検出内訳は 200 件までです。
- 1 MB を超える本文は、ランダムに見える文字列の警告判定をしません。
- 一度でも第三者に渡したトークン・パスワードは、発行元で失効・変更してください。HAR を伏せても、すでに渡した分は戻りません。
プライバシーと安全性
HAR は端末の中（ブラウザの Web Worker）だけで読み込み・処理・保存され、サーバーへ送信・保存されません。利用状況の集計にはファイルサイズの区分と件数だけが含まれ、ファイル名や内容は含まれません。
よくある質問
HAR ファイルを共有すると何が漏れますか？
HAR ファイルはどうやって作りますか？
伏せた HAR は Chrome や Firefox のビューアで開けますか？
これで安全に共有できますか？
「同じ値は同じ記号」にすると何が良いのですか？
HAR は外部に送信されますか？
関連ツール
秘密情報スキャナー（Secret Scanner）
コードや設定ファイルを貼る・ドロップするだけで、公開前に消すべき秘密情報の候補を行番号つきで一覧します。値は既定で伏せ字、*** に置き換えたコピーも作れます。あくまで補助ツールで、検出漏れがないことは保証しません。
curl解析・コード生成
Chrome や Firefox の「cURL としてコピー」を貼ると、メソッド・URL・ヘッダー・Cookie・本文を表にし、12 種類のコードへ変換します。リクエストは送らず、すべてブラウザの中で処理します。Authorization や Cookie は共有前に伏せられます。
メールヘッダー・配送経路解析
Gmail の「メッセージのソースを表示」や .eml のヘッダーを貼ると、Received を時系列に並べた配送経路・認証結果・From との不一致を確認できます。すべてブラウザの中で処理し、DNS・WHOIS・IP の位置の照会はしません。
JSON 整形・検証（JSON Studio）
JSON を貼り付けるだけで整形・1 行化・構文チェック。エラーは「何行目の何が悪いか」まで表示し、コメントや末尾カンマは自動修復できます。データは端末の外へ送信しません。
C2PA・来歴の確認
写真や PDF に C2PA（コンテンツ来歴）が付いていれば、作ったアプリ、署名した人、AI を使ったという記録、編集の履歴を読めます。C2PA が付いていないことは「AI ではない」の証明にはなりません。
暗号・ハッシュ計算（Crypto Studio）
テキストを入れるだけで SHA-256 や SHA-3 など 12 種類のハッシュ値を一度に表示。Webhook 署名の HMAC 照合、パスワードでのテキスト暗号化、鍵ペアの生成、bcrypt の作成と照合まで、送信なしで手元の端末だけで行えます。
最終更新: