HARファイル解析ツール

サポートに「機密データを含む HAR」を求められたら

NTT データ イントラマートのサポートサイトの FAQ「harファイル（ブラウザのネットワークログ）の取得方法を教えてください」は、Chrome 130 以降では「センシティブ データを含む HAR の生成を許可する」をオンにしてから書き出すよう案内しています。Cookie や Authorization が調査の手がかりになるためです。

ただ、Cookie の値そのものはログイン中のセッションを表します。本ツールのマスクは値だけを [redacted] に置き換え、Cookie の名前と Set-Cookie の属性（Path、Secure、HttpOnly、SameSite）は残すので、「どの Cookie が送られたか」「属性が正しいか」は読み取れます。サンプル HAR のログインリクエストはこうなります。

set-cookie: session=[redacted]; Path=/; Secure; HttpOnly; SameSite=Lax
{"email":"shopper@example.com","password":"[redacted]","remember":true}
{"user":{"id":42,"name":"Demo Shopper"},"access_token":"[redacted]","expires_in":3600}

値まで必要かどうかは問い合わせ先に確認してください。マスクしたコピーで足りることも多いはずです。

マスクの範囲

• Cookie、Set-Cookie、Authorization の値（Bearer などの方式名は残す）と、cookies 一覧のすべての値。
• 名前が認証情報らしいヘッダー、URL パラメータ（クエリとフラグメント）、フォーム、multipart、JSON のキー（深さを問わない）。token、secret、password、session、api key、signature、csrf、code、sid などが対象で、token_type や Access-Control-Allow-Credentials は対象外です。
• それ以外の場所にあるトークン形式の文字列。JWT、Bearer の値、GitHub・Stripe・AWS などのキー形式（APIキーマスキング と同じ規則）です。
• 取り除いた値がファイルの別の場所（HTML や別の URL）に出てくれば、そこも置き換えます。保存前にファイルを読み込み直し、取り除いた値が 1 つも残っていないことを確かめます。

メールアドレスのような個人情報は認証情報ではないので残します。残したボディの件数を報告に出すので、必要なら「追加でマスクする名前」に email などを入れるか、ボディごと削除してください。

ウォーターフォールの見方

各バーは startedDateTime から始まり、HAR 1.2 の timings に沿って最大 7 つに分かれます。キュー / ストール（blocked）、DNS、接続、TLS（ssl）、送信、待機（最初のバイトまで）、受信です。-1 はそのフェーズがなかったことを示し、「該当なし」と表示します。縦線は DOMContentLoaded と load です。

Chrome と Safari は仕様どおり TLS を connect に含めるので、バーではその部分を TCP と TLS に分けます。Firefox は 2 つを別々に記録し、time には両方を足します。

connect 18 ms + ssl 21 ms (time 151 ms = sum of all seven)

仕様の式だけで計算するツールでは、Firefox の HTTPS リクエストのバーが 21 ms 短くなり、すべてに「合計が合わない」と出ます。転送量は Chrome と Safari では _transferSize、Firefox では転送量全体が入っている bodySize から読みます。

cURL をコピーするとき

Chrome DevTools の「Copy as cURL」と同じ書き方です。値は一重引用符で囲み、' や ! を含むときは $'…' を使います。:authority などの HTTP/2 疑似ヘッダーと Accept-Encoding は含めず、Cookie は -b で渡します。「マスク後の値を使う」がオンなら、ログインリクエストは次のようになります。

curl --url 'https://api.example.com/v1/login' \
  -H 'accept: */*' \
  -H 'user-agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/152.0.0.0 Safari/537.36' \
  -H 'content-type: application/json' \
  -H 'origin: https://shop.example.com' \
  -H 'x-csrf-token: [redacted]' \
  --data-raw '{"email":"shopper@example.com","password":"[redacted]","remember":true}'

Python や Go のコードにするなら cURL コード変換 に貼り付けます。

ほかの HAR ツールとの違い

2026-10-01 に同じファイル（サンプル HAR に、x-session-id ヘッダーと 3,200 文字より後ろに入れ子の refresh_token を持つリクエストを加えたもの）を読み込み、マスク後の出力から 7 つの認証情報を探しました。

どのツールもファイルをサーバーへ送っていませんでした。ボディを丸ごと消すと手軽ですが、不具合の原因がレスポンスの中身にあることもあります。本ツールは既定では認証情報だけを置き換え、ボディの削除は選べるようにしています。