フラグメントに id_token があるリンク
# 以降に state と id_token が並んだ、OAuth の戻りで見かける形のリンクです。フラグメントも調べることを示す例です。
入力
リンク(1 行に 1 つ)
https://app.example.com/#state=xyz&id_token=eyJhbGciOiJSUzI1NiJ9
結果
エラー 0 件・警告 1 件・情報 0 件
指摘(エラー・警告・情報)
- 警告 1 行目 「id_token」は認証情報らしいパラメータ名です(フラグメント)。リンクに載せた値は履歴・Referer・ログに残る恐れがあります(CWE-598)。
| 検査したリンク | 1 件 |
|---|---|
| 認証情報らしい名前 | 1 件 |
| 長い乱数様の値 | 0 件 |
| 該当なしのリンク | 0 件 |
見つかった値(伏せ字)
| 行 | 場所 | 名前 | 値(マスク) | 理由 |
|---|---|---|---|---|
| 1 | フラグメント | id_token | ey●●●●J9 | 認証情報らしい名前 |
検算(この結果になる理由)
# 以降に「=」があるので「&」で区切って読みます。state=xyz は当てはまらず、id_token は名前の一覧にあるため、場所「フラグメント」で警告が 1 件出ます。
判定の根拠は仕様と根拠に、仕様の出典とともにまとめています。自分の入力で試すにはツールをお使いください。
このツールの制約
- 名前の一覧と値の形の条件は、このツールが決めた目安で、規格が定めた一覧ではありません。一覧にない名前や短い値の認証情報は見つかりません。
- 「見つからなかった」ことは安全の保証ではありません。パス部分(/token/abc…)や、暗号化・符号化された値は判定できません。
- 値が本物の認証情報かどうかは判断できません。リンクの先へのアクセスや、値の有効性の確認はしません。
- 見つかった値を無効にする作業(再発行・失効)は行いません。サービスの管理画面で行ってください。
ご利用にあたって
- 一覧にない名前や形の値は見つかりません。見つからなくても、安全だと判断しないでください。
- 本物のトークンを含むリンクを共有してしまった場合は、早めにサービス側で無効化してください。