ワンタイムリンクのタブを閉じたあと、# 以降の鍵が「最近閉じたタブ」から戻ってくる理由

https://…/s.html?id=…#… を開いた時点で、アドレスバーには二段が同時にあります。クエスチョン後ろの暗号文番号と、# 以降の復号鍵です。このタブを閉じると、「鍵はもうこのパソコンにない」と読みたくなります。ブラウザがしている仕事は、その逆です。戻る、進む、クラッシュ後の復元、「最近閉じたタブ」を支えるため、その回のナビゲーションの完全な URL を残さねばなりません。Chromium は、タブごとのこの記録をセッション履歴（session history）と呼びます。1件のナビゲーション項目には、当時の URL、スクロール位置、未送信のフォームなどが入ります。タブを閉じたあと、あるいはブラウザを再起動したあと、これらの項目は直列化され、タブを当時のまま戻すために使われます。説明は Chromium の Session History にあります。

Firefox は同じ系統の機能を Session Restore（セッション復元）と呼びます。ウィンドウ、タブ、最近閉じたタブを追跡し、各タブの履歴、スクロール位置、フォームをディスクへ書いて、起動時や「閉じたタブを元に戻す」で読み戻します。説明は Firefox Source Docs の Session Restore です。Microsoft Edge は Chromium ベースなので、閉じたタブの復元も同じセッション履歴の経路を使います。「タイトルだけ残して fragment は捨てる」という別ルールはありません。

この層は HTTP リクエストではありません。IETF の RFC 3986 §3.5 は fragment をクライアント側の識別とし、サーバーが URI を処理する材料にはしません。だから UsePwd のアクセスログに # 以降の鍵は出ません。その境界はURL の # fragment がサーバーログに出ない理由で分解済みです。本記事が補うのは次の層です。リクエストに入らない fragment でも、自分のブラウザ記録には入ります。タブを閉じるのは、今回の描画を終えることです。セッション履歴にある完全な URL を、自動では消しません。

Chrome や Edge で Ctrl+Shift+T を押すか、メニューの「履歴 → 最近閉じたタブ」を開くと、ブラウザはいまのセッション記録を取り出し、そこに保存された URL を開きます。Chrome 公式のショートカット一覧は、これを「閉じたタブを閉じた順序で再び開く」と書いています。説明は Chrome のキーボード ショートカット です。Firefox の「最近閉じたタブ」も Session Store から1件選び、当時アクティブだった履歴項目の URL を開き直します。fragment は URL の一部であり、ページタイトルの脇にある飾りではありません。復元に、それを剥がす別手順はありません。

長期の閲覧履歴とセッション履歴も、同じ倉庫ではありません。Chromium が URL を履歴データベースへ書くとき、ユーザー名とパスワードは取り除きます。この変換は fragment を消しません。関数は Chromium の GurlToDatabaseUrl です。したがって chrome://history に # 付きのワンタイムリンクが出ても、「リクエストに fragment はなかった」こととは矛盾しません。履歴庫が覚えるのは、あなたが見た完全な文字列です。リクエスト行は、それでも s.html?id={番号} までです。

右クリックの「タブを複製」は、もっと短い近道です。Chromium は、タブの複製、あるいは新しいタブでの戻る・進む・再読み込みが、ナビゲーション項目を直接クローンすると書いています。いったんファイルへ書いて読み戻すのではありません。複製したタブのアドレスバーは、閉じる前と同じ文字列であることが多く、# と鍵も残ります。共有パソコンでは、履歴ページを探すより速いです。隣の人は履歴の探し方を知らなくても、タブを複製すれば同じリンクを取れます。

閲覧ページをブックマークすると、ブラウザが保存するのは、その瞬間のアドレスバーの文字列です。星マークは先に「# 以降は鍵か」と尋ねて、パスだけを残すことはしません。あとからブックマーク同期がオンのどの端末で開いても、アドレスバーにはまた完全なリンクが出ます。Apple は、Safari 向けに iCloud をオンにすると、ブックマークと開いているタブが iCloud に保存され、iPhone、iPad、Mac のあいだで更新されると書いています。ブックマークは、Windows 版 iCloud を入れたパソコンにも同期されます。説明は Apple「iCloud で Safari をデバイス間で同期する」 です。

Chrome は「履歴とタブ」を、オンオフできる同期項目として書いています。オンにすると、開いているタブは「履歴 → 他のデバイスからのタブ」に出ます。ヘルプは すべてのデバイスで同じブックマーク、パスワード、その他の設定を利用する です。Chrome の「デバイスにタブを送信」（Send Tab to Self）は、同期記録へ完全な GURL の spec() を書き込みます。普通の # fragment は URL の残りと一緒に直列化され、先に剥がされることはありません。実装は Chromium の SendTabToSelfEntry です。

システムの共有シートとブックマークを、同じ動作だと思わないでください。iPad の Safari で、fragment 付きの URL をメールへ共有すると、届く文字列が # より前だけになることがあります。アドレスバーを全選択してコピーすると、fragment はたいてい残ります。差が示しているのは次です。「共有を押した」ことで鍵の有無を判断しない。受け手、あるいは別端末のアドレスバーに実際に出た文字で判断する。チャットのプレビュー取得がタイトル層で止まる話は、別の記事です。完全なリンクがブックマークや同期記録に入った時点で、もうプレビュー用ボットの層ではありません。

UsePwd のワンタイムリンクは、鍵を s.html?id={id}#{key} の # の後ろに置きます。作成も閲覧も登録不要ですぐ使えます。現在のタブが Web Crypto で AES-256-GCM により暗号化または復号します。平文の上限は 32 KB です。アップロードする欄は暗号文、有効期限、閲覧回数だけです。有効期限は 1 時間、24 時間、7 日、または「閲覧後のみ破棄」です。閲覧回数は 1–10、既定は 1 です。サーバーが一時保管するのは暗号文だけです。平文は見えず、利用者ごとに取り戻すアカウントもありません。

受け手が閲覧ページを開くと、ページは先に暗号文がまだあるかを尋ねます。この確認は回数を消費しません。「開いて見る」を押したあと、ブラウザは暗号文を取り、# 以降の鍵でこの端末が復号します。復号が成功しても、アドレスバーの fragment は既定のまま残ります。タブを閉じる、またはページを離れると、閲覧ページは平文欄を消します。ただしアドレスは自動では書き換えません。「このページから消去」を押したときだけ、ページは history.replaceState を呼び、現在のアドレスを「パス + クエリ」へ縮め、# とその後ろの鍵を外します。WHATWG は replaceState を、いまのセッション記録を置き換える操作であり、新しい項目を足す操作ではない、と定義しています。説明は History API です。消してからタブを閉じると、「最近閉じたタブ」が戻すのは、もう鍵のないアドレスです。

サーバー上の暗号文がすでに消えたかは、作成時に決めた回数と有効期限だけです。このページの平文を消しても、閲覧が1回増えたり減ったりはしません。回数が残っているあいだ、完全なリンクを持った人は、また「開いて見る」を押せます。回数が尽きたあと、完全なリンクが開くのは破棄済みの画面だけです。それでもセッション履歴、ブックマーク、チャット記録のアドレスは残ります。プレビューが出るチャットに同じリンクを貼ったあと、回数がすでに消費されているとは限らない理由は、プレビューが出るチャットにワンタイムリンクを貼ったあと、閲覧回数がすでに消費されているとは限らない理由です。本記事が補うのは、受け手自身のブラウザ記録であり、チャンネルのカードではありません。

ショートカットを押せる人は、このブラウザのプロファイルを使える人です。共有パソコン、ロックしていない席、借りてログアウトしていないブラウザは、「最近閉じたタブ」を二本目の取り出し口にします。最近閉じた一覧を消す、履歴を消す、それでこの近道は止まります。すでにチャット、チケット、スクリーンショットへコピーされた完全な URL は止まりません。ワンタイムリンクが制限するのは、サーバー上の暗号文の寿命と回数です。本機の記録に残ったアドレスを、誰がまだ見られるかではありません。

回数が尽きたあと、履歴からリンクを開き直すと、たいてい破棄済みだけが見えます。それを「履歴はもう安全」とは読めません。管理者、同僚、自分自身は、その文字列からまだ読めます。番号が一度存在したこと、誰かが fragment を鍵に使ったことです。長期保管や複数端末の同期が必要なら、専用のパスワードマネージャーを使ってください。UsePwd にアカウントもパスワード保管庫もなく、利用者ごとに失ったリンクを取り戻すこともできません。立場は概要にあります。

ファイルは三本目の道です。1ファイル 5 GB までのローカルバックアップはファイル暗号化へ。出力は .lock / .enc で、ファイルは既定でアップロードされません。パスフレーズ自体はパスワード生成で 6–128 文字のあいだで作り、パスワード強度チェックで強度を見ます。これらのページも本記事と同じく登録不要ですぐ使えます。「fragment はサーバーログに入らない」を「タブを閉じれば鍵は消える」と読まないでください。ログ、セッション履歴、チャット記録は、同じ層ではありません。