HAR Viewer

DevTools の .har キャプチャをブラウザで確認します。リクエスト一覧・タイミングのウォーターフォール・トークンやセッション Cookie らしき値の警告表示。アップロードはありません。

HAR ファイルを開く

ブラウザの DevTools からエクスポートした .har ファイルを選んでください。ファイルは端末内で読み込まれます。

HAR ファイルをブラウザで確認する

.har（HTTP Archive）ファイルは、ブラウザの DevTools が書き出すネットワークキャプチャです。すべてのリクエストとレスポンスが、ヘッダ・タイミング・Cookie・ボディごと記録されています。このツールはそれを読み込み、スクロールできるリクエスト一覧、リクエストごとのタイミング内訳、クリックした行の完全なヘッダ/ボディ詳細を表示します。

HAR キャプチャは、ブラウザが作り出すファイルの中でも特に機微な情報を含みます。有効なセッション Cookie・Bearer トークン・API キーが、送信された姿そのまま入ってしまうためです。これは仮の話ではなく、2023 年の Okta サポートシステム侵害では、顧客がサポートケースにアップロードした HAR ファイルに含まれていたセッショントークンが攻撃者に悪用されました。このツールは読み込み時にヘッダ・クエリパラメータ・Cookie を走査し、よくある機密情報の形をした値を含むリクエストに警告を出します。共有する前に、何を渡そうとしているか自分の目で確認できます。

ファイルが端末から出ない理由

ここでのプライバシーは約束ではなく仕組みです。送信先のサーバーが存在しないため、アップロードという工程がそもそもありません — HAR ファイルには攻撃者が狙うのと同じセッショントークンが入り得るぶん、これは他のツール以上に重要です:

  • ファイルの読み込みと解析はすべてブラウザ内で行われます。
  • ページは静的ファイルとして配信され、あなたのデータを伴うリクエストは送信しません。
  • ソースは公開されており、誰でも読めます（MIT）。
  • オフラインで動作します。これは、データが端末から出ないからこそ可能です。

ご自分で確かめるなら、ファイルを開く際にブラウザの Network パネルを開いてください。中身を運ぶリクエストは出ていません。 ソースを読む。

使い方

  1. ファイルを開く

    ブラウザ DevTools の Network パネル → HAR をエクスポート で書き出した .har ファイルをクリックで選択するか、ページ上にドロップします。ファイルは端末内で読み込まれます。

  2. 一覧を確認する

    各リクエストの method / URL / status / type / size / time を一覧表示し、行ごとに小さなタイムラインバーを添えます。ヘッダ・クエリパラメータ・Cookie にトークンや機密情報らしき値を含むリクエストには警告アイコンが付きます。

  3. 行をクリックして詳細を見る

    リクエスト/レスポンスのヘッダ、クエリパラメータ、Cookie、整形済みのボディを確認できます。警告対象の値はその場でハイライトされます — 隠されることはありません。

よくある質問

HAR ファイルはどこかにアップロードされますか？

いいえ。ファイルの読み込みと解析はすべてブラウザ内で完結します。サーバー側の処理が無いため、中に含まれる機微な情報も含めて、端末の外に出る経路がありません。ソースは公開されており、ブラウザの Network パネルで確認できます。

警告アイコンは何を意味しますか？

そのリクエストのヘッダ・クエリパラメータ・Cookie に、よくある機密情報の形をした値が含まれていることを示します。具体的には Authorization: Bearer トークン、JWT（eyJ で始まり、ドット区切り 3 セグメントの構造）、AWS アクセスキー（AKIA...）、GitHub トークン（ghp_/gho_...）、sk- で始まる API キー、api_key/access_token/token という名前のクエリパラメータ、または Cookie / Set-Cookie ヘッダの存在です。

検出した値を隠したり書き換えたりしますか？

いいえ、意図的にそうしていません。目的は、共有する前に自分のキャプチャの中身に気づけるようにすることです。検出した値は詳細ビューでハイライト表示され、マスクはされません。

リクエスト/レスポンスのボディも走査しますか？

現時点では対象外です。検出はヘッダの値・クエリパラメータの値・Cookie の値に限定しています。ボディにも機密情報が含まれ得ますが、走査は範囲がより広い別の課題として今後に持ち越しています。

トークンを取り除いて、無害化した HAR を書き出せますか？

できません。このツールはあくまでビューアで、意図的な無害化・書き換えは別の目的を持つ別の仕事です。それが必要な場合は、Cloudflare が公開しているクライアントサイドの HAR サニタイザー（オープンソース）が専用に用意されています。

タイムラインのバーは何を表していますか？

各リクエストの blocked / DNS / connect / send / wait / receive（HAR の timings）を積み上げたバーで、キャプチャ全体の時間に対する比率で描画しています。キャプチャ全体に占める割合が大きいリクエストほど長いバーになり、短時間のリクエストは短いバーになります。

オフラインでも使えますか？

はい。PWA なので、一度アクセスすればキャッシュされ、ネット接続が無くても開けます。ホーム画面に追加して使うこともできます。