Tool Kumar

Tool Kumarのツール

安全なJSON整形ツール

Tool Kumarは、ドキュメントの解析と整形をブラウザー内で行います。JSONを貼り付けてもサーバーには送信されず、アカウントも必要ありません。ただし、このサイトはVercel Web Analyticsを使用しているため、プライバシーについては、ドキュメントの処理とページのテレメトリを分けて考える必要があります。

このツールの使い方

  1. DevToolsを開き、「ネットワーク」（Network）を選びます。ページの読み込みが終わるのを待ってから、リクエストの一覧をクリアします。
  2. network-check-7のような固有のマーカーを含む無害なJSONを貼り付け、値を1つ編集します。整形結果は、そのマーカーを含むリクエストなしで更新されるはずです。
  3. 新しいリクエストがあれば、特に「ペイロード」（Payload）タブを確認します。アナリティクスはビーコンリクエストを使う場合があるため、「Fetch/XHR」と「すべて」（All）の両方を確認してください。小さなサンプルなら30秒ほどで終わります。

実行例

オンラインでも、アプリのアセットをオフライン用にキャッシュした後でも、同じローカルの整形機能がこの出力を生成します。

入力

{"user-id":42,"display name":"Ada","class":true,"profile":{"city":"London","created_at":"2026-10-14T09:00:00Z"},"items":[{"sku":"A1","price":12,"note":null},{"sku":"B2","price":12.5,"note":"gift"}],"metadata":null}

出力

{
  "user-id": 42,
  "display name": "Ada",
  "class": true,
  "profile": {
    "city": "London",
    "created_at": "2026-10-14T09:00:00Z"
  },
  "items": [
    {
      "sku": "A1",
      "price": 12,
      "note": null
    },
    {
      "sku": "B2",
      "price": 12.5,
      "note": "gift"
    }
  ],
  "metadata": null
}

ブラウザー内での処理で守られるもの

JSONをアップロードする整形ツールでは、サーバーがドキュメントにアクセスできます。このツールでは、解析と整形にブラウザー上のパーサーのコードを使い、ダウンロードファイルの生成にはローカルのブラウザーAPIを使います。通常の貼り付け操作では、ドキュメントを含むリクエストは発生しません。

上記のネットワークの確認で検証できるのは、現在のセッションだけです。今後のすべてのバージョンの動作を保証するものではありません。データの重要度に応じて、更新後にも確認を繰り返してください。

アナリティクスとサードパーティへのリクエスト

このサイトはVercel Web Analyticsを使用して、ドキュメントの内容ではなくページビューを記録しています。本番環境では、アナリティクスのスクリプトは同じオリジンの/_vercel/insights/script.jsから読み込まれ、ページのテレメトリは/_vercel/insightsを通じて送信されます。URLフラグメントは、イベントの送信前にアプリケーションのラッパーによって取り除かれます。URLのパスやクエリパラメーターには機密情報を入れないでください。

コード用のフォントはビルド時にセルフホストされるため、このページを使ってもGoogleにフォントがリクエストされることはありません。ソースコードの監査では、ほかのアナリティクスの組み込みは見つかりませんでした。ユーザーが指定したリモートURLの取得は、通常のローカル入力に対する例外です。

実際のセキュリティヘッダーを確認する

ページのContent-Security-Policyを以下に示します。このポリシーは、ページのフレームへの埋め込み、ベースURLの別オリジンへの変更、object/embedコンテンツの読み込みをブロックします。ページにはscript-src、default-src、connect-srcは設定されていません。

そのほかに設定されているヘッダーには、X-Content-Type-Options: nosniff、X-Frame-Options: DENY、Referrer-Policy: strict-origin-when-cross-origin、カメラ、マイク、位置情報、決済、USBを無効にするPermissions-Policyがあります。Service Workerのレスポンスには、別のより厳格なCSPが設定されています。

frame-ancestors 'none'; base-uri 'self'; object-src 'none'

JWT、APIキー、保存されたドキュメントの扱い

ページへのアクセス権を持つ不要な拡張機能は無効にしてください。トークンやキーを貼り付ける前に、ネットワークを無効にした状態でキャッシュ済みのアプリが動作することを確認します。機密情報は、共有リンク、スクリーンショット、ブラウザーのURLのクエリに含めないでください。

ユーザーの編集内容はlocalStorageに残ることがありますが、localStorageは暗号化された機密情報の保管庫ではありません。機密性の高い作業の後は、ほかのTool Kumarのタブを閉じ、ブラウザーのサイトデータの設定から、このサイトのローカルストレージ、キャッシュストレージ、Service Workerを消去してください。

JWTデコードツールでクレームを確認し、署名はご自身のアプリケーションで検証してください。認証情報がすでに漏えいしている場合は、失効させるかローテーションしてください。整形しても、漏えいをなかったことにはできません。

オプションと注意点

  • パーサー、コード生成、ダウンロードファイルの作成はローカルで実行されます。ローカルのファイルを開いても、アップロードはされません。
  • Vercel Web Analyticsはページビューを記録します。本番環境では、そのスクリプトはこのサイトと同じオリジンの/_vercel/insights/script.jsから配信され、テレメトリには/_vercel/insightsが使われます。ラッパーはイベントの送信前にURLフラグメントを取り除きます。ドキュメントの内容を送るイベントは、コード内に設定されていません。
  • 共有リンクでは、JSONがURLフラグメントに入ります。フラグメントはHTTPリクエストでは送信されませんが、リンク全体を知っている人は誰でもドキュメントを読めます。機密情報は共有しないでください。
  • 「URLから読み込む」は、指定したエンドポイントをブラウザーから明示的に取得します。そのエンドポイント側にはリクエストが届きます。?url=付きのリンクでもリモートからの読み込みが始まることがあるため、機密性の高い作業では貼り付けかローカルのファイルを使ってください。

標準でプライバシーを保護

ドキュメントはこのブラウザー内に残ります。Tool Kumarは、解析、変換、ダウンロードファイルの作成を端末内で行います。アカウント登録やアップロードの手順はありません。

安全なJSON整形ツールのよくある質問

このJSON整形ツールは機密データに使っても安全ですか？
ドキュメントはローカルで処理され、貼り付けた内容がアップロードされることはありません。それでも、配信されるコード、お使いのブラウザー、拡張機能を信頼できることが前提です。機密情報を扱う場合は、リクエストを検証し、動作確認済みのオフラインのタブを使い、終わったらローカルストレージを消去してください。
このサイトはアナリティクスを使っていますか？
はい。Vercel Web Analyticsがページのテレメトリを記録します。ラッパーはURLフラグメントを取り除き、アプリケーションにはエディターの内容を送信するイベントは設定されていません。アナリティクスのリクエストは、ローカルでのJSON処理とは別のものです。
Content Security Policyは何を保護しますか？
ページのCSPは、フレームへの埋め込みをブロックし、ベースURLをこのオリジンに制限し、埋め込みオブジェクトをブロックします。script-srcやconnect-srcのディレクティブはないため、すべてのスクリプトや通信先を制限するものではありません。
タブを閉じた後もJSONは残りますか？
ユーザーが編集した2,500,000文字までのドキュメントは、比較用のテキストや設定とともに、このブラウザーのlocalStorageに残ることがあります。共有端末ではサイトデータを消去してください。プリセットのページを開いただけでは、トップページに保存されたドキュメントは置き換わりません。
JWTやAPIキーを貼り付けても大丈夫ですか？
まず無害なサンプルでオフラインでの動作を確認し、機密情報にはオフラインのタブを使うことをおすすめします。ページにアクセスできる拡張機能は、その場合でもエディターの内容を読み取れます。デコードしたJWTは検証済みのトークンではありません。また、漏えいしたキーは失効させてください。

関連ツール

オフラインで使えるJSON整形ツール、JWTデコード、JSON整形ツール、JSON整形ツールのプライバシー調査。