Basic 認証デコーダー

Basic 認証ヘッダーをデコードする手順

1. 値を Authorization ヘッダー、Basic トークン、または認証情報付き URL に貼り付けます。次のどれでも動作します。
   • Authorization: Basic YWRtaW46czNjcjN0OnBhc3M=
   • Proxy-Authorization: Basic …
   • Basic YWRtaW46czNjcjN0OnBhc3M= またはトークンだけ
   • https://user:password@host/path
2. 文字コード は自動検出のままにしておき、結果がおかしければ UTF-8 か ISO-8859-1 を指定します。
3. ユーザー名 と パスワード を確認し、それぞれコピーできます。怪しい文字があれば デコード後のバイト（16進数） を確認してください。

デコードするのは Basic スキームだけです。Digest や NTLM のヘッダーは形式が異なり、別のスキームとして報告されます。

デコーダーが表示するもの

自動検出は順番に判定します。純粋な ASCII はどの文字コードでも同じようにデコードされ、有効な UTF-8 になるバイト列は UTF-8 として読み、それ以外は HTTP ヘッダーの従来のデフォルトである ISO-8859-1 として読みます。ここでの Latin-1 は正真正銘の ISO-8859-1 です。Windows-1252 は € などの文字がある 0x80–0x9F の範囲で ISO-8859-1 と異なるため、Windows-1252 のパスワードは制御文字として表示されることがあります。

デコーダーは、= パディングの欠落や URL セーフの - と _ など、いい加減なトークンにも寛容ですが、厳格なサーバーなら拒否するので、その旨を表示します。デコードしてもコロンがまったくないテキストになった場合、その値は user:password の組ではなかったということなので、ツールはそう報告します。

Basic 認証の資格情報が見つかる場所

• ブラウザの開発者ツール。 ネットワークタブでは、すべてのリクエストのヘッダーが Authorization も含めて表示されます。
• curl。 curl -v はリクエストを出力するので、-u user:pass は > Authorization: Basic … として現れます。
• HAR ファイルやプロキシのキャプチャ。 各リクエストのヘッダーがすべて保存されています。
• サーバーやプロキシの設定。 nginx の proxy_set_header Authorization "Basic …" のように、ハードコードしたヘッダーでバックエンドへのアクセスを与えている場合です。
• Docker レジストリの資格情報。 ~/.docker/config.json の auth フィールドは user:password の Base64 です。ファイル全体は dockerconfigjson デコーダー で開けます。
• アプリケーションのログ。 フレームワークが受信したヘッダーを伏せ字にせずに記録している場合です。

どれもエンコードを 1 層かけただけの平文パスワードなので、パスワードそのものとして扱ってください。エンコードが何も守らない理由は、Base64 は暗号化ではない で説明しています。

サーバー側でヘッダーをデコードする

通常はフレームワークがやってくれますが、スクリプトやテストでは小さなパーサーが役に立ちます。

import base64

def parse_basic(header_value):
    scheme, _, token = header_value.strip().partition(" ")
    if scheme.lower() != "basic":
        raise ValueError("not a Basic credential")
    user, colon, password = base64.b64decode(token).decode("utf-8").partition(":")
    if not colon:
        raise ValueError("no colon in the decoded value")
    return user, password

print(parse_basic("Basic YWRtaW46czNjcjN0OnBhc3M="))

これは ('admin', 's3cr3t:pass') を出力します。スキーム名は大文字と小文字を区別しないので小文字で比較し、パスワード内のコロンが残るよう、必ず partition か split(":", 1) を使ってください。パスワードの照合には == ではなく、エンコード済みのバイト列に対する hmac.compare_digest など、定数時間の比較を使います。逆方向には Basic 認証ヘッダー生成ツール を使ってください。Base64 のレシピは Python のページ にもっとあります。

よくある質問