ガイド · 作る・共有する

短縮リンクをパスワードで保護する

少人数向けのリンク — 文書、価格表、草稿 — は、何かを見せる前にパスワードを求められます。このガイドは鍵が守るもの、ここでの良いパスワード、鍵が守らないものを扱います。

鍵がすること

保護されたリンクは、パスワードを求めるページ以外を開きません。目的地、そのタイトル、アドレスは、正しいパスワードが送信されるまで隠れたままです。誤りはエラーと再びの門で返ります。確認はリンクの /unlock への POST です — URL パラメーターではなくフォームなので、パスワードがアドレスバー、ログ、共有シートに着地することはありません(RFC 3986 は URI の userinfo 部分を資格情報に取っておき、このサービスはそれを隠したリンクを拒みます。クエリ文字列内のパスワードは、現代の衣を着た同じ誤りです)。

ここでの良いパスワード

NIST SP 800-63B は、構成規則ではなく長さと漏洩リストでパスワードを評価することを求めます。共有リンクの文脈で残る助言:長く、句にし、リンクとは別の経路で共有する — メッセージがリンクを言い、通話がパスワードを言う。

  • 単語 4 つは、単語 1 つと記号 3 つに勝ります。
  • 大小の区別は効きます。誰かが打つ前に門が言います。
  • 漏れたら、リンクを作り直して変更します。古いリンクはいつもの期限で消えます。

鍵がしないこと

これはアカウントではなく共有パスワード 1 つです。持つ者は通過し、2 人の保持者を区別できません。レート制限は 1 つのアドレスからの推測を遅らせ、4 語の句に対する百万回の攻撃は、NIST が範囲外と評価するのと同じ問題です。単に「載っていない」のではなく秘密でなければならないものは、暗号化する経路で送り、この門はその前の扉として扱ってください。

質問

パスワードはどこで設定しますか?

ホームページの「詳細オプション」のパスワード欄です。無料リンクにもプレミアムリンクにも付けられます。

パスワードは URL に載りますか?

いいえ。解錠はフォームの POST です。アドレスがパスワードを担うことはありません。

同じ保護リンクを複数人で使えますか?

はい。パスワードは共有であり個人ではありません。持つ全員がリンクを開けます。

保護されたリンクが期限切れになると?

他のリンク同様に期限切れになります。門のページはパスワードを求める代わりに期限切れを知らせます。

出典

このガイドの記述の根拠となる文書です。各リンクは新しいページで開きます。

  1. NIST SP 800-63B: Digital Identity Guidelines — Authentication
  2. RFC 3986: Uniform Resource Identifier (URI): Generic Syntax
  3. OWASP: Unvalidated Redirects and Forwards Cheat Sheet