01
デフォルトではこの端末に残る
これらの内容はブラウザの Web Crypto またはこの端末のスクリプトが処理し、業務リクエスト本文として FastPwd には送らず、アクセス解析にも書きません。
- オンラインパスワード生成が作る、ランダムな強いパスワードと覚えやすいパスフレーズ
- パスワード強度診断に入力した対象パスワード
- 洗浄前のリンク、マスキング前の原文
- ファイル暗号化ボックスのファイル、パスフレーズ、元のファイル名
- 閲覧後焼却の平文、および
#の後ろの復号鍵
01 / セキュリティ
FastPwd セキュリティ
平文はブラウザを離れるか
オンラインパスワード生成、パスワード強度診断、UTM 除去、ファイル暗号化は、今開いているタブで完了します。平文、鍵、ファイルはデフォルトでアップロードしません。閲覧後焼却が一時保存するのは暗号文だけです。復号鍵はアドレスバーの # の後ろにあります。このページは、その場で確認できる境界を書き、プライバシーポリシーの保持期間の代わりにはなりません。
ブラウザ暗号化
AES-256-GCM
平文はアップロードしない
その場で確認できる
02
サーバーに届くもの
ページを開くこと自体を除き、FastPwd が業務データを受け取るのは閲覧後焼却の場面だけで、暗号文に限ります。
- 閲覧後焼却：暗号文、有効期限、閲覧回数の上限
- 作成 API は送信元 IP で短時間の頻度制限をします
- 自前のアクセス解析：ページパスと操作イベント名。入力原文は含みません
- 言語の好みは、あなたのブラウザのローカルストレージにだけ書きます
02 / ツールごとに確認する
五つのツールが計算を残す場所
オンラインパスワード生成は Web Crypto の getRandomValues で、この端末に文字または単語を取ります。Math.random() は使いません。長さは 6〜128 文字、初期値は 16 文字。結果は保存せず、更新したあとサーバーにこれらの平文は現れません。
パスワード強度診断は、この端末でエントロピーと解読時間を見積もり、ページと一緒にダウンロードされる公開の弱いパスワード一覧と照合します。対象パスワードはアップロードせず、Have I Been Pwned のような全ウェブ照会でもありません。
プライバシー洗浄は、この端末で UTM、fbclid、gclid などの追跡パラメータを外し、電話番号、メール、証明書番号をマスクします。リンクと原文はアップロードしません。ファイル暗号化ボックスは AES-256-GCM のストリームで暗号化し、単ファイル 5 GB まで。ファイルとパスフレーズはブラウザを出ません。
閲覧後焼却は、内容を報告する唯一の機能です。テキストは先にこの端末で暗号化され、サーバーが一時保存するのは暗号文だけです。鍵の形は s.html?id={番号}#{鍵} で、クエリにあるのは番号だけです。
03 / 確認の仕方
スローガンだけを読まない。この回のリクエストを見る
「ローカル暗号化、アップロードなし」そのものは証拠になりません。その場で見えるのは、今開いているタブがどのリクエストを出したか、本文にいま入力した内容があるかです。
Network を開く
この実験にしか出ない文字列で、リクエスト行と本文を検索してください。作ったパスワード、対象パスワード、洗浄前の原文、ファイル名、# の後ろの鍵は出てはいけません。
解析リクエストを別に見る
ページはスタイルとフォントを読み込み、本文のないアクセス解析を送ることもあります。解析のイベント名は出てかまいません。いま入力した平文は query や body に出てはいけません。
手順どおりの画面が必要なとき
ブログには繰り返せるカナリア手順があります。Preserve log、オフライン再測、疑問符は HTTP に入り # はデフォルトでは入らない、などです。ブラウザローカル暗号化の確認方法をご覧ください。
04 / できないこと
このページが保証できる境界は、ここまで
セキュリティが答えるのは「計算がどこで起きるか、何をアップロードしないか」です。次の事項はこのページの約束の範囲外です。
相手の画面撮影は止められない
閲覧後焼却が減らせるのは、リンクが何度も開かれることと、サーバーが平文を長く持つリスクです。受信側はコピー、画面撮影、転送ができます。
パスフレーズを忘れると戻せない
ファイル暗号化ボックスのパスフレーズは、この端末で鍵を導くためだけに使います。FastPwd に控えはなく、復旧経路もありません。
全ウェブの漏洩照会ではない
パスワード強度診断が照合するのは、公開の高頻度弱いパスワード一覧です。よくある弱いパスワードは見つけられますが、どの漏洩にも一度も出ていない証明にはなりません。
ブラウザ拡張は調べない
Network の確認は、拡張がクリップボードを読んだかどうかの証明にはなりません。ブラウザや版を変えたら、カナリア検索をもう一度してください。
[ 05 ] よくある質問
オンラインツールの安全性について、よく聞かれる境界
パスワード生成、強度診断、リンク洗浄、テキストマスキング、ファイルの暗号化／復号は、今開いているタブで完了します。生成結果、対象パスワード、洗浄前の原文、ファイル、パスフレーズは、デフォルトでは業務データとしてアップロードしません。内容を報告するのは閲覧後焼却だけです。サーバーが受け取るのは暗号文だけです。
開発者ツールの Network を開き、この実験にしか出ない文字列でリクエスト行と本文を検索してください。平文、パスフレーズ、# の後ろの鍵は出てはいけません。手順の全体はブラウザローカル暗号化の確認方法をご覧ください。
平文は先にこの端末の AES-256-GCM で暗号化され、そのあと暗号文をアップロードします。復号鍵はアドレスバーの
# の後ろにあり、HTTP リクエストには入りません。サーバーは平文を見えず、暗号文も開けません。このページは、平文がブラウザを離れるか、各ツールの処理場所、その場で確認できることを答えます。プライバシーポリシーは、サーバーが実際に受け取るものと保持期間を書きます。については FastPwd が誰か、なぜ保管庫を作らないかを説明します。
[ 06 ] その場で確認する
開いて
すぐ使える
→
先にこの端末でランダムパスワードを作るか、捨ててよい小さなファイルで一度暗号化してください。開発者ツールを開き、リクエストにいま入力した内容がないことを確認します。