URLの#以降がサーバーに届かない理由

運用担当が一時パスワードをチャットに入れたり、サポートが管理画面の URL を token ごと転送したりするとき、本当に怖いのは「相手が見える」ことより、「途中の各ホップに完全なリンクが残る」ことです。だから多くの人は、秘密がアドレスバーに出れば、サーバーログにも必ずコピーがあると決めつけます。

完全なアドレスは3つに割れます。プロトコルとホストは、ブラウザがどこへ接続するかを決めます。パスとクエスチョン以降のクエリパラメータは、どの資源かを決め、この2つは HTTP のリクエスト行に出ます。ハッシュ以降の文字を fragment と呼びます。もともとはページ上のアンカーへスクロールするためのもので、のちにフロントのスクリプトも location.hash で本機からこの文字列を読みます。サーバーは受け取れず、ルーティングや認証にも使うべきではありません。

鍵を # の後ろに置くのは、新しい暗号化アルゴリズムを発明したわけではありません。ブラウザが長く守ってきた送信境界を使うだけです。同じリンクに「サーバー向けの番号」と「現在のタブだけが持つ鍵」を同時に載せられます。UsePwd のワンタイムリンクが使うのも、この境界です。作成ページも閲覧ページも送り手も受け手も登録不要です。サーバーは暗号文だけを一時保管し、平文と鍵は既定でリクエスト本文として送りません。

これは URL 規格が長くそうなっているのであり、あるサイトの私的な約束でも、「サーバーが見ないと言った」わけでもありません。表の「サーバーが見えるか」は、TLS 終端のあと、オリジンまたは自分で管理するリバースプロキシが、その HTTP リクエストから当該フィールドを読めるかを指します。本機が乗っ取られている、拡張がページを読める、相手がスクリーンショットを残す、といった話は含みません。

作成時、現在のタブは Web Crypto で乱数の鍵を作り、AES-256-GCM でテキストを暗号化し、暗号文をサーバーへ渡します。返ってきた番号は ?id= に書き、鍵は # の後ろにだけ付けます。

閲覧ページは受け手に公開されます。相手が s.html?id={id}#{key} を開くと、ブラウザは先に id でサーバーから暗号文を取るか状態を尋ね、本機に残った fragment の鍵で復号します。作成時に決めた回数に達すると、サーバーは暗号文を削除し、リンクは再読できません。受け手も登録は不要です。閲覧ページ自体は一時的な暗号文の場面であり、本サイトの収録入口にはしません。製品の能力を理解するなら、作成ページか本記事の照合手順へ戻ってください。

鍵を fragment に置くことで解けるのは、「サーバーログとリクエスト行」の層です。「完全なリンクを誰に送ったか」は解けません。チャット、メール、チケットシステムは、貼ったアドレス全体を保存します。完全なリンクを手にした人は、番号と鍵の両方を持ちます。ワンタイムリンクが制限するのは、サーバー側の暗号文の寿命と閲覧回数であり、受け手がスクリーンショットするか、転送するかではありません。

クエリパラメータ方式との違いは

一度限りのリンクのなかには、復号材料を ?k= と書くものがあります。実装は簡単ですが、開くたびに鍵がリクエスト行に入り、CDN、WAF、オリジンのアクセスログに残ります。fragment 方式はハッシュを1つ足すだけで、ホスティング側が URL を完全に記録しても、暗号文を解く半分が欠けます。代償として、受け手には完全なリンクをコピーするよう伝え、クエスチョンより前だけをコピーしないようにする必要があります。# 以降が欠けると、閲覧ページは暗号文だけを取れ、本機では解けません。

だから本記事は、ワンタイムリンクを「パスワードマネージャー」や「取り戻せる金庫」とは書きません。UsePwd にアカウントはなく、パスワード保管庫もなく、ユーザー単位でパスワードを取り戻すこともできません。リンクをなくす、fragment が切れる、回数が尽きる、いずれでもサーバーは平文を復元できません。位置づけは概要をご覧ください。

秘密の閲覧回数が限られ、双方がブラウザを開けるなら、ワンタイムリンクを使います。平文は本機で暗号化し、番号は ?id=、鍵は #、登録不要ですぐ使えます。作成後にネットワークパネルで一度照合し、POST 本文が暗号文であること、GET の URL に fragment がないことを確認してください。本当に必要なのが長期保存、複数端末の同期、復元なら、本サイトの範囲を超えています。専用のパスワードマネージャーを使い、UsePwd をアカウントシステムと捉えないでください。

秘密を第三者のページに載せるべきでないなら、リンクを作らないでください。対面で口頭、オフライン媒体、または双方がすでに持つエンドツーエンドの通路だけです。fragment 方式が減らすのは「サーバーログ上の鍵」であり、「画面を見られるすべての人」ではありません。この2層を分けられてはじめて、URL の原理記事を製品保証として読まずに済みます。

パスワード自体の強さは、また別の話です。6–128 桁の乱数パスワードはパスワード生成で。本機で強度を見つつ、ページ同梱の弱いパスワードの公開リストと照合するならパスワード強度チェックです。診断はネット全体の漏洩照会ではなく、検査するパスワードはアップロードされません。リンクやチケット本文を外部へ出す前は、URLクリーナーで追跡パラメータを除くかマスキングしてください。これらのページも本記事と同じく登録不要です。上部バー右側は言語切替だけです。