Bevor Sie diese HAR-Datei senden, lesen Sie, was darin steckt
„Könnten Sie uns eine HAR-Datei schicken?“ ist eine vernünftige Bitte — und eine der beiläufig gefährlichsten Dateiübergaben im alltäglichen Support. Eine HAR-Datei ist eine vollständige Aufzeichnung einer Browser-Sitzung: jede Anfrage und jede Antwort, mit den Cookies, Authorization-Headern, Token und Formularinhalten, die sie zum Laufen gebracht haben. Sie ist genau das, was ein Support-Ingenieur braucht, um Ihr Problem zu reproduzieren, und genau das, was ein Angreifer wollen würde, um Ihre Sitzung zu wiederholen. Dieser Artikel erklärt, was eine HAR-Datei ist, wie man eine in Chrome, Edge oder Firefox aufzeichnet, was sie durchsickern lässt und wie man sie prüft und schwärzt, bevor sie irgendwohin geht.
Was eine HAR-Datei ist
HAR — HTTP Archive — ist ein JSON-Format zur Aufzeichnung von HTTP-Verkehr, standardisiert in der HAR-1.2-Spezifikation und exportiert von den Entwicklertools aller großen Browser und von Debugging-Proxys wie mitmproxy. Die Datei enthält ein log-Objekt mit einem entries-Array: einen Eintrag pro Anfrage, jeder mit Methode und vollständiger URL, den Anfrage- und Antwort-Headern, den Cookies in beide Richtungen, der in Parameter zerlegten Query-Zeichenkette, einem etwaigen POST-Body, Status, Größe und Inhaltstyp der Antwort sowie nach Phasen aufgeschlüsselten Zeiten — DNS, Verbindung, TLS, Senden, Warten, Empfangen.
Anders gesagt: Sie ist kein Screenshot des Problems; sie ist das Problem, wiederholbar. Alles, was HTTP-Verkehr verarbeitet, arbeitet mit dem Format — Browser-Werkzeuge, Performance-Analysatoren, Support-Ingenieure und zunehmend auch Agenten: Der in können KI-Agenten Ihre App reverse-engineeren? behandelte REA-Stack liest HAR-Aufzeichnungen nativ, weil der API-Verkehr für viele Apps mehr erklärt als der Code. Genau diese Nützlichkeit ist der Grund, warum die Datei eine Lektüre verdient, bevor sie einen Versand verdient.
Warum Support-Teams und Anbieter eine anfordern
Weil sie Diskussionen beendet. „Die Seite ist langsam“ wird zu einem Wasserfall mit benannten Anfragen und Zeiten. „Die API schlägt fehl“ wird zu genau der Anfrage, die 500 zurückgab, mit genau der Nutzlast und genau den Headern. „Bei mir funktioniert es“ hört auf zu zählen, weil die Aufzeichnung von Ihrem Rechner, Ihrem Netzwerk, Ihrem Konto stammt, aus dem Moment, in dem es kaputtging. Ein guter Support-Ingenieur kann mit einer ehrlichen HAR-Datei mehr anfangen als mit einer Woche Screenshots und Erinnerungen.
Darum wird die Bitte auch so oft gedankenlos weitergeleitet. Das Ticket sagt „hängen Sie eine HAR an“, der Nutzer exportiert in dreißig Sekunden eine, und die Datei — aufgezeichnet, während er angemeldet war und echte Arbeit tat — beginnt zu reisen: in ein Ticket-System, einen E-Mail-Verlauf, manchmal ein öffentliches Forum oder ein geteiltes Laufwerk, und sammelt an jedem Sprung Kopien. Niemand in dieser Kette ist exakt fahrlässig; das Format verbirgt einfach, was es enthält. Eine .har-Datei sieht aus wie träge Diagnostik. Sie ist eher ein Schlüsselbund.
Wie man eine in Chrome, Edge oder Firefox aufzeichnet
In Chrome oder Edge: Öffnen Sie die Seite, drücken Sie F12 für die DevTools und gehen Sie zum Panel Netzwerk (die Netzwerk-Referenz der Chrome DevTools dokumentiert jedes Steuerelement). Stellen Sie sicher, dass der rote Aufnahmeknopf an ist, und setzen Sie Protokoll beibehalten, wenn das Problem eine Navigation überspannt. Reproduzieren Sie das Problem einmal, von Anfang bis Ende. Dann klicken Sie mit der rechten Maustaste auf eine beliebige Anfrage in der Liste und wählen Alle als HAR mit Inhalt speichern (Edge formuliert es als Speichern des Netzwerkprotokolls). In Firefox hat der Ablauf dieselbe Form: DevTools → Netzwerk, reproduzieren, Rechtsklick → Alle als HAR speichern.
Zwei Aufnahmegewohnheiten zählen mehr als jede Einstellung. Erstens: Nehmen Sie die kürzeste Sitzung auf, die das Problem zeigt — jede zusätzliche Minute Surfen ist zusätzlicher Verkehr und zusätzliche Geheimnisse in der Datei, einschließlich dessen, was andere Tabs und Hintergrundanfragen gerade taten. Zweitens, wenn Sie können: Reproduzieren Sie das Problem in einem frischen Browser-Profil oder einem privaten Fenster, nur beim betreffenden Dienst angemeldet. Eine Aufzeichnung aus einem sauberen Profil enthält genau diese eine Sitzung und sonst nichts: kein Banking-Tab, kein Webmail, keine Token anderer Apps, die mitreisen.
Was sie durchsickern lässt
Ihre Sitzung, zuerst. Die Header Cookie und Set-Cookie und die Cookie-Listen tragen Ihre Sitzungskennungen, und die meisten Sitzungs-Cookies sind im schlichtesten Sinn Inhaber-Zugangsdaten: Wer eines vorzeigt, wird als Sie behandelt, bis es abläuft oder widerrufen wird. Der Authorization-Header fügt Bearer-Token und manchmal Basic-Zugangsdaten hinzu. Nichts im Format markiert diese Werte als besonders; sie sind einfach Header, treu aufgezeichnet.
Dann die Dinge, die niemand für Header hält. Token fahren die ganze Zeit in URLs mit — API-Schlüssel, Links zum Zurücksetzen von Passwörtern und zur E-Mail-Bestätigung, signierte Download-URLs, OAuth-Rückrufe — und die HAR zeichnet die vollständige URL plus die zum leichten Lesen zerlegte Query-Zeichenkette auf. POST-Bodys tragen, was die Formulare trugen: das Passwort, mit dem Sie sich während der Aufzeichnung angemeldet haben, Profiländerungen, Nachrichten, persönliche Daten. Antwort-Bodys können dieselbe Klasse von Daten zurückbringen. Eine HAR-Datei aus einer echten Sitzung ist im Effekt ein teilweises Transkript Ihres Kontos — darum sind Werkzeuge, die Netzwerkverkehr auf der Leitung lesen, wie der PCAP Analyzer, und solche, die ihn im Browser lesen, wie diese Seite, so gebaut, dass sie die Zugangsdaten deutlich zeigen, damit Sie sehen, was Sie in der Hand halten.
Prüfen und schwärzen Sie sie, bevor Sie sie senden
Also: Öffnen Sie die Datei, bevor es irgendjemand sonst tut. Dafür ist der HAR File Analyzer dieser Seite da — legen Sie die .har auf die Seite und sie wird lokal geparst, auf Ihrem Gerät, nie hochgeladen, mit standardmäßig maskierten sensiblen Werten: Authorization-, Cookie- und Set-Cookie-Header, jeder Cookie-Wert und jeder Header, Query-Parameter, Formularfeld- oder JSON-Schlüssel, dessen Name nach Token, Schlüssel, Geheimnis, Sitzung oder Passwort aussieht. Überfliegen Sie die Zusammenfassung und die langsamsten und größten Anfragen; prüfen Sie, welche Hosts auftauchen — eine Aufzeichnung enthält manchmal Verkehr von Seiten, die Sie gar nicht angesehen haben — und nutzen Sie den Schalter „Werte anzeigen“, nur auf Ihrem eigenen Bildschirm, wenn Sie bestätigen müssen, was wirklich darin ist.
Dann laden Sie die geschwärzte .har herunter und senden Sie diese stattdessen. Die Schwärzung behält die Struktur, die ein Support-Ingenieur braucht — dieselben Einträge, Header, URLs als Formen, Status und Zeiten — und ersetzt die Zugangsdaten-Werte durch den wörtlichen Text REDACTED, in Headern, Cookies, Query-Zeichenketten, Formulardaten und JSON-Bodys gleichermaßen. Eine Grenze steht auf dem Werkzeug und wird hier wiederholt: Ein POST-Body, der weder JSON noch gewöhnliche Formulardaten ist, lässt sich nicht sicher parsen und wird unverändert übernommen — wenn Ihre Aufzeichnung einen solchen Body enthält, lesen Sie ihn selbst, bevor die Datei reist. Die maskierte CSV-Zusammenfassung existiert aus demselben Grund: Sie ist die Datei, die Sie anhängen, wenn der Ingenieur um „nur die Liste der Anfragen“ bittet.
Was Schwärzung nicht leisten kann
Schwärzung entfernt die Schlüssel; sie entfernt nicht die Karte. Eine geschwärzte HAR zeigt weiterhin Ihre Hosts und Endpunkte, Ihre Parameternamen, die Form und Größe der Antworten, die Reihenfolge und Zeiten der Aufrufe — eine funktionierende Skizze der API Ihrer Anwendung, die selbst Information sein kann, die Sie nicht veröffentlichen. Sie kann auch keine Kopien zurückholen: Sobald eine rohe Datei in ein Ticket-System oder einen Posteingang gelangt ist, ändert das Schwärzen Ihrer Kopie nichts an deren Kopie. Teilen Sie die geschwärzte Datei über den privaten Kanal, den der Anbieter Ihnen gegeben hat — das Ticket selbst, keinen öffentlichen Beitrag oder öffentlichen Datei-Link — und bitten Sie im Ticket um Löschung der Datei, wenn der Fall geschlossen wird. Seriöse Support-Organisationen tun das routinemäßig; zu fragen kostet nichts.
Und wenn eine rohe, ungeschwärzte HAR bereits entkommen ist — an die falsche Adresse gesendet, an ein öffentliches Issue gehängt, in einem geteilten Ordner liegen gelassen — behandeln Sie die Sitzung als offengelegt, denn sie ist es: Melden Sie sich beim Dienst ab (was die Sitzung gewöhnlich serverseitig ungültig macht), melden Sie sich wieder an und rotieren Sie alle API-Schlüssel, die darin auftauchten. Das ist dieselbe Regel wie für jedes durchgesickerte Geheimnis, und der Grund, warum das Kleingedruckte bei den anderen Datei-Werkzeugen dieser Seite identisch ist — der Binary File Inspector liest Ausführbare aus demselben Grund lokal, aus dem diese Seite Aufzeichnungen lokal liest: Die Dateien, die am nötigsten geprüft werden müssen, sind genau die, die man zur Prüfung nicht hochladen sollte.