HAR File Analyzer

Un fichier HAR (HTTP Archive, .har) est un enregistrement JSON d’une session de navigation — chaque requête qu’une page a envoyée et chaque réponse qu’elle a reçue, avec en-têtes complets, cookies, paramètres de requête et corps POST. Déposez-en un ici et lisez-le correctement : totaux et durée, requêtes par classe de statut et par hôte, les cinq plus lentes, puis chaque entrée avec ses en-têtes et sa charge utile. Les valeurs sensibles — en-têtes Authorization, cookies, jetons, mots de passe — sont masquées par défaut, et vous pouvez télécharger une copie expurgée que l’on peut joindre en toute sécurité à un ticket de support. Le fichier n’est jamais téléversé : il est analysé dans cette page, sur votre appareil.

Dernière mise à jour:

Ou déposez le fichier n’importe où dans ce cadre. Tout ce qui suit est lu depuis le fichier lui-même, sur cet appareil. Limite : 50 Mo. Le fichier n’est jamais téléversé.

Un fichier HAR est un enregistrement de vos clés — traitez-le comme tel

Les fichiers HAR contiennent couramment des identifiants encore valides : des cookies de session toujours actifs, des en-têtes Authorization, des jetons d’API glissés dans les URL et tout ce que vous avez saisi dans des formulaires. Quiconque détient le fichier peut souvent rejouer votre session avec — c’est pourquoi cette page ne le téléverse jamais, pourquoi les valeurs restent masquées jusqu’à votre demande, et pourquoi même un export expurgé mérite des précautions : l’expurgation remplace les secrets, mais le fichier cartographie toujours les points de terminaison, les paramètres et la forme du trafic de votre application. Envoyez-le par un canal privé, pas sur un forum public, et demandez au destinataire de le supprimer à la clôture du ticket. L’article compagnon, avant d’envoyer ce fichier HAR, détaille ce qui fuit et comment en capturer un en sécurité ; pour le trafic capturé sur le réseau plutôt que dans le navigateur, le PCAP Analyzer lit les captures de paquets sous la même règle de local uniquement.

Ce qu’un fichier HAR enregistre — et ce que cette page en lit

Les navigateurs et les proxys de débogage (les DevTools de Chrome et Firefox, Charles, mitmproxy) exportent le HAR depuis leurs panneaux réseau : un objet log dont le tableau entries contient un objet par requête — méthode, URL, en-têtes de requête et de réponse, cookies, chaîne de requête, données POST, statut, tailles et temps par phase. Les équipes de support demandent ces fichiers parce qu’ils sont la vérité de terrain de « la page était lente » ou « l’API a renvoyé 500 » : pas de captures d’écran, pas de souvenirs, juste l’enregistrement. Cette page lit cette même structure et la présente comme vous déboguez réellement avec — d’abord un résumé (combien de requêtes, combien transféré, quelle durée, quels hôtes, lesquelles étaient les plus lentes), puis un tableau filtrable, puis une entrée en entier. Le parcours complet pour capturer, inspecter et expurger un fichier se trouve dans avant d’envoyer ce fichier HAR, lisez ce qu’il contient.

Le téléchargement expurgé est la raison d’être de l’outil. Il conserve la structure HAR intacte — mêmes entrées, mêmes en-têtes, mêmes temps, pour que tout visionneur ou ingénieur support puisse toujours l’ouvrir — et ne remplace que les valeurs qui servent d’identifiants : les en-têtes Authorization, Cookie et Set-Cookie, chaque valeur de cookie, et tout en-tête, paramètre de requête ou de formulaire dont le nom sent le jeton, la clé, le secret, la session ou le mot de passe, y compris les secrets nichés dans des corps POST JSON. Une limite honnête : un corps POST qui n’est ni du JSON ni des données de formulaire ordinaires ne peut pas être analysé en sécurité, il est donc repris tel quel — vérifiez vous-même un tel corps avant d’envoyer le fichier. Le résumé CSV est masqué quoi que dise l’interrupteur, parce qu’une feuille de calcul est exactement le fichier qui se transmet. Et là où le PCAP Analyzer couvre le trafic capturé sur le réseau, cette page couvre l’enregistrement que le navigateur lui-même en a fait — les deux vues de la même conversation.

Questions fréquentes

Mon fichier HAR est-il téléversé quelque part ?

Non. Le fichier est ouvert et analysé dans cette page, sur votre appareil, et rien n’est téléversé, transmis ni stocké — analyser un fichier n’émet aucune requête réseau. C’est une règle de conception délibérée, pas une commodité : un fichier HAR est l’un des fichiers les plus denses en identifiants de votre machine, et un outil qui vous demanderait de le téléverser pour l’inspecter ferait partie du problème.

Qu’est-ce qui est masqué, exactement ?

Trois choses, partout où elles apparaissent — la vue de détail à l’écran, le téléchargement expurgé et le CSV : les en-têtes Authorization, Cookie et Set-Cookie ; chaque valeur de cookie ; et tout en-tête, paramètre de requête, champ de formulaire ou clé de corps JSON dont le nom correspond à token, key, secret, session, auth, password, passwd, jwt ou bearer (insensible à la casse). Dans le fichier expurgé, ces valeurs deviennent le texte littéral REDACTED ; à l’écran, elles s’affichent comme •••••• jusqu’à ce que vous activiez « Afficher les valeurs sensibles ».

Un HAR expurgé est-il totalement sûr à partager ?

Plus sûr, pas sûr. L’expurgation supprime les valeurs qui servent d’identifiants, mais le fichier montre toujours vos hôtes, points de terminaison, noms de paramètres, formes de réponse et temps — une carte de votre application que vous ne voulez peut-être pas rendre publique. Les corps qui ne sont ni du JSON ni des données de formulaire sont repris sans expurgation. Partagez le fichier expurgé par le ticket ou le canal que le fournisseur vous a donné, pas dans un message public, et demandez sa suppression ensuite.

Pourquoi le tableau s’arrête-t-il à 500 entrées ?

Les très grosses captures — sessions longues, applications qui interrogent en boucle, pages pleines de traqueurs — peuvent contenir des dizaines de milliers de requêtes, et les afficher toutes figerait la page. Le tableau affiche les 500 premières entrées correspondant à vos filtres et le dit ; le résumé compte toujours le fichier entier, et filtrer par texte, statut, méthode ou hôte est le moyen de réduire une énorme capture aux requêtes qui vous intéressent. Le téléchargement expurgé couvre toujours chaque entrée.