Credentials in URL

URL 内クレデンシャルとは、パスワードやトークンを URL のクエリパラメータやパスに置くことであり、ログ、ブラウザ履歴、Referer を通じて漏えいする。

目的

URL クレデンシャルの多経路にわたる漏えいリスクとその防御を理解する。セキュアコーディングの基本要件である。

メカニズム

URL 内クレデンシャルは、サーバーログ、プロキシログ、ブラウザ履歴、Referer ヘッダーを通じて第三者に漏れる。防御法: クレデンシャルは Authorization ヘッダーや POST ボディで渡す。HTTPS でも URL クレデンシャルは避ける。

ユースケース

クレデンシャル漏えいの防御
セキュアコーディングの監査
ログのセキュリティ

関連ツール

URL パーサー

Parse a URL into its components: protocol, host, path, query, hash, port, username, and password。無料、プライベート、100%クライアントサイド。

HTTP ステータスコードリファレンス

Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions。無料、プライベート、100%クライアントサイド。

References