access_token がクエリに載っているリンク
ページ番号と一緒に access_token が付いたリンク 1 件です。RFC 6750 2.3 が SHOULD NOT とする方式の代表例です。
入力
リンク(1 行に 1 つ)
https://example.com/cb?access_token=abc123def456&page=2
結果
エラー 0 件・警告 1 件・情報 0 件
指摘(エラー・警告・情報)
- 警告 1 行目 「access_token」は認証情報らしいパラメータ名です(クエリ)。リンクに載せた値は履歴・Referer・ログに残る恐れがあります(CWE-598)。 RFC 6750 2.3 は access_token をクエリで送ることを SHOULD NOT としています。
| 検査したリンク | 1 件 |
|---|---|
| 認証情報らしい名前 | 1 件 |
| 長い乱数様の値 | 0 件 |
| 該当なしのリンク | 0 件 |
見つかった値(伏せ字)
| 行 | 場所 | 名前 | 値(マスク) | 理由 |
|---|---|---|---|---|
| 1 | クエリ | access_token | ab●●●●56 | 認証情報らしい名前 |
検算(この結果になる理由)
access_token は一覧の名前で、値は 12 文字なので先頭 2 文字「ab」と末尾 2 文字「56」だけを出します。page=2 は名前も値も当てはまらないため指摘されません。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- 名前の一覧と値の形の条件は、このツールが決めた目安で、規格が定めた一覧ではありません。一覧にない名前や短い値の認証情報は見つかりません。
- 「見つからなかった」ことは安全の保証ではありません。パス部分(/token/abc…)や、暗号化・符号化された値は判定できません。
- 値が本物の認証情報かどうかは判断できません。リンクの先へのアクセスや、値の有効性の確認はしません。
- 見つかった値を無効にする作業(再発行・失効)は行いません。サービスの管理画面で行ってください。
ご利用にあたって
- 一覧にない名前や形の値は見つかりません。見つからなくても、安全だと判断しないでください。
- 本物のトークンを含むリンクを共有してしまった場合は、早めにサービス側で無効化してください。