HAR File Analyzer

Um ficheiro HAR (HTTP Archive, .har) é uma gravação JSON de uma sessão do navegador — cada pedido que uma página fez e cada resposta que recebeu, com cabeçalhos completos, cookies, parâmetros de consulta e corpos POST. Largue um aqui e leia-o como deve ser: totais e intervalo de tempo, pedidos por classe de estado e host, os cinco mais lentos e depois cada entrada com os seus cabeçalhos e carga. Os valores sensíveis —cabeçalhos Authorization, cookies, tokens, palavras-passe— estão mascarados por predefinição, e pode descarregar uma cópia redigida segura para anexar a um ticket de suporte. O ficheiro nunca é enviado: é analisado nesta página, no seu dispositivo.

Última atualização:

Ou largue o ficheiro em qualquer lugar desta caixa. Tudo o que se segue é lido do próprio ficheiro, neste dispositivo. Limite: 50 MB. O ficheiro nunca é enviado.

Um ficheiro HAR é uma gravação das suas chaves — trate-o como tal

Os ficheiros HAR contêm rotineiramente credenciais ativas: cookies de sessão ainda válidos, cabeçalhos Authorization, tokens de API escondidos em URLs e tudo o que escreveu em formulários. Quem tiver o ficheiro pode muitas vezes reproduzir a sua sessão com ele — é por isso que esta página nunca o envia, que os valores ficam mascarados até os pedir, e que mesmo uma exportação redigida merece cuidado: a redação substitui os segredos, mas o ficheiro continua a mapear os endpoints, parâmetros e a forma do tráfego da sua aplicação. Envie-o por um canal privado, não por um fórum público, e peça ao destinatário que o apague quando o ticket fechar. O artigo complementar, antes de enviar esse ficheiro HAR, percorre o que vaza e como capturar um em segurança; para o tráfego capturado na rede em vez de no navegador, o PCAP Analyzer lê capturas de pacotes sob a mesma regra de apenas local.

O que um ficheiro HAR regista — e o que esta página lê dele

Os navegadores e os proxies de depuração (as DevTools do Chrome e do Firefox, o Charles, o mitmproxy) exportam HAR a partir dos seus painéis de rede: um objeto log cujo array entries guarda um objeto por pedido — método, URL, cabeçalhos de pedido e resposta, cookies, cadeia de consulta, dados POST, estado, tamanhos e tempos por fase. As equipas de suporte pedem estes ficheiros porque são a verdade de fundo de «a página estava lenta» ou «a API devolveu 500»: sem capturas de ecrã, sem memórias, só a gravação. Esta página lê essa mesma estrutura e apresenta-a da forma como realmente depura com ela — primeiro um resumo (quantos pedidos, quanto foi transferido, quanto durou o intervalo, que hosts, quais foram os mais lentos), depois uma tabela filtrável e depois uma entrada completa. O percurso completo de capturar, inspecionar e redigir um está em antes de enviar esse ficheiro HAR, leia o que ele contém.

O descarregamento redigido é o objetivo da ferramenta. Mantém intacta a estrutura HAR —as mesmas entradas, cabeçalhos e tempos, para que qualquer visualizador ou engenheiro de suporte possa continuar a abri-la— e substitui apenas os valores que atuam como credenciais: os cabeçalhos Authorization, Cookie e Set-Cookie, cada valor de cookie, e qualquer cabeçalho, parâmetro de consulta ou de formulário cujo nome cheire a token, chave, segredo, sessão ou palavra-passe, incluindo segredos aninhados em corpos POST JSON. Um limite honesto: um corpo POST que não seja JSON nem dados de formulário comuns não pode ser analisado com segurança, pelo que é mantido sem alterações — verifique esse corpo você mesmo antes de enviar o ficheiro. O resumo CSV é mascarado diga o interruptor o que disser, porque uma folha de cálculo é exatamente o ficheiro que é reencaminhado. E onde o PCAP Analyzer cobre o tráfego capturado na rede, esta página cobre a gravação que o próprio navegador fez dele — as duas vistas da mesma conversa.

Perguntas frequentes

O meu ficheiro HAR é enviado para algum lado?

Não. O ficheiro é aberto e analisado nesta página, no seu dispositivo, e nada é enviado, transmitido ou armazenado — analisar um ficheiro não faz nenhum pedido de rede. É uma regra de design deliberada, não uma conveniência: um ficheiro HAR é um dos ficheiros com mais credenciais da sua máquina, e uma ferramenta que lhe pedisse para o enviar para o inspecionar faria parte do problema.

O que é exatamente mascarado?

Três coisas, em todos os lugares onde aparecem — a vista de detalhe no ecrã, o descarregamento redigido e o CSV: os cabeçalhos Authorization, Cookie e Set-Cookie; cada valor de cookie; e qualquer cabeçalho, parâmetro de consulta, campo de formulário ou chave de corpo JSON cujo nome corresponda a token, key, secret, session, auth, password, passwd, jwt ou bearer (sem distinguir maiúsculas). No ficheiro redigido esses valores tornam-se o texto literal REDACTED; no ecrã aparecem como •••••• até ativar «Mostrar valores sensíveis».

Um HAR redigido é completamente seguro para partilhar?

Mais seguro, não seguro. A redação remove os valores que atuam como credenciais, mas o ficheiro continua a mostrar os seus hosts, endpoints, nomes de parâmetros, formas de resposta e tempos — um mapa da sua aplicação que pode não querer tornar público. Os corpos que não são JSON nem dados de formulário são mantidos sem redação. Partilhe o ficheiro redigido pelo ticket ou canal que o fornecedor lhe deu, não numa publicação pública, e peça que seja apagado depois.

Porque é que a tabela para nas 500 entradas?

Capturas muito grandes —sessões longas, aplicações com polling, páginas cheias de rastreadores— podem conter dezenas de milhares de pedidos, e apresentá-los todos congelaria a página. A tabela apresenta as primeiras 500 entradas que correspondem aos seus filtros e diz isso mesmo; o resumo conta sempre o ficheiro inteiro, e filtrar por texto, estado, método ou host é como reduz uma captura enorme aos pedidos que lhe interessam. O descarregamento redigido cobre sempre cada entrada.