HAR Analyzer

01

So funktioniert’s

1. 1

   Öffne die Datei oder füge sie ein

   Die .har liest der eigene File Reader deines Browsers. Die Seite hat kein Upload-Ziel, und das zählt hier mehr als irgendwo sonst: Dieser HAR Analyzer sieht sich die komplette Aufzeichnung einer eingeloggten Session an, und der übliche Rat lautet, sie auf der erstbesten Seite einzufügen.

2. 2

   Lies zuerst das Panel mit den Zugangsdaten

   Authorization-Header, gesendete und gesetzte Cookies, eigene Auth-Header, Zugangsdaten in Query-Strings und die Key-Muster von AWS, Stripe, GitHub, Slack und Google. Alles wird maskiert angezeigt, mit dem Request, aus dem es stammt – so weißt du, was du schwärzen musst, ohne dass die Seite den Wert je vollständig zeigt.

3. 3

   Dann sieh dir an, was der Mitschnitt zeigt

   Zuerst fehlgeschlagene Requests, dann unkomprimierte Text-Responses, langsame Time to First Byte, Requests in der Warteschlange, Redirect-Ketten, mehrfach geladene URLs und der Anteil von Drittanbietern. Jeder Befund sagt, was er bedeutet, nicht nur, dass etwas passiert ist.

02

Eine HAR-Datei ist ein Zugangsschlüssel

Authorization: Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9…
Cookie: sid=9f3a8c2e1b7d4a6f0c5e8b1a3d7f2c9e
X-API-Key: ak_live_3f8b1c9d7e2a4056b8d1f3c7

03

Wonach er sucht

04

Zugangsdaten in einer URL sind schlimmer als in einem Header

05

Die Performance-Hälfte

06

Warum es hier keinen Wasserfall gibt

07

Häufige Fragen

Speichert oder lädt ihr meine HAR-Datei hoch?

Nein. Die Datei wird mit dem FileReader des Browsers geöffnet und in der Seite geparst – kein Upload-Ziel, kein Server-Aufruf, kein Logging, kein Konto. Das ist keine allgemeine Datenschutzfloskel. Eine HAR ist die wortwörtliche Aufzeichnung einer eingeloggten Session. Wer sie in einen unbekannten HAR Analyzer hochlädt, gibt funktionierende Zugangsdaten aus der Hand – und die meisten Tools laden genau so hoch.

Was steckt eigentlich in einer HAR-Datei?

Jeder Request und jede Response einer Browser-Session, samt vollständiger Header. Also der Authorization-Header bei jedem API-Aufruf, jedes gesendete und jedes gesetzte Cookie, jeder API Key in einem Query-String, der Body jedes POST und – wenn der Mitschnitt mit Inhalt gespeichert wurde – auch die Response-Bodies. Das ist keine Zusammenfassung. Das ist der Traffic.

Der Support will eine HAR von mir. Kann ich sie gefahrlos schicken?

Nicht, ohne sie vorher zu lesen. Die Bitte ist berechtigt, und eine HAR ist wirklich der schnellste Weg, ein Netzwerkproblem zu diagnostizieren. Aber die Datei, die deinen Bug reproduziert, enthält auch die Session, mit der du eingeloggt warst, während du ihn reproduziert hast. Prüf das Panel mit den Zugangsdaten, schwärze, was es findet, und rotiere alles Langlebige – ein API Key in einem Header läuft nicht ab wie ein Session-Cookie.

Wie erstelle ich eine HAR-Datei?

In Chrome oder Edge: Devtools öffnen, zum Network-Tab wechseln, sicherstellen, dass die Aufzeichnung läuft, das Problem reproduzieren, dann einen beliebigen Request rechtsklicken und „Save all as HAR with content“ wählen. Firefox und Safari haben denselben Export unter anderen Namen. Ist der Export leer, lief die Aufzeichnung im Network-Tab nicht, als die Seite geladen wurde – lade neu, während die Devtools schon offen sind.

Was findet er außer Zugangsdaten?

Fehlgeschlagene Requests, Text-Responses ohne Komprimierung und wie viele Bytes das verschwendet hat, Requests, die länger als eine halbe Sekunde aufs erste Byte gewartet haben, Requests in der Warteschlange, Redirects, dieselbe URL mehrfach geladen, Responses über einem Megabyte und wie viel der Ladezeit an Drittanbieter ging. Wer eine HAR-Datei analysieren will, bekommt genau diesen Teil überall – hier ist er auch, nur an zweiter Stelle.

Was sagt mir die Time to First Byte?

Wie lange der Server nachgedacht hat, bevor er irgendetwas geschickt hat. Sie wird getrennt von DNS, Verbindungsaufbau, TLS und Download ausgewiesen, weil sie die eine Zahl ist, die kein CDN repariert – alles andere ist das Netzwerk, das Bytes bewegt, das hier ist deine Anwendung, die entscheidet, was sie sagt. Eine langsame TTFB an einem Endpoint in einem sonst schnellen Mitschnitt ist meist die Antwort.

Warum markiert er unkomprimierte Responses?

Weil Text sich auf etwa ein Fünftel seiner Größe komprimieren lässt und die Lösung eine Konfigurationszeile ist. Jede JSON-, JavaScript-, CSS- oder HTML-Response über etwa 1,4 KB ohne Content-Encoding-Header wird gelistet, mit der verschwendeten Gesamtmenge im Mitschnitt. Bilder und Videos sind ausgenommen – sie sind schon komprimiert, und gzip bringt bei ihnen nichts.

Was zählt als Drittanbieter?

Alles, was nicht auf der registrierbaren Domain des ersten Requests liegt. Eine Subdomain deiner eigenen Seite ist First Party, ein CDN oder Analytics-Host auf eigener Domain nicht. Jeder Drittanbieter ist eine Abhängigkeit, die deine Seite nicht schneller laden kann als sie selbst – das siehst du besser als Anzahl und Byte-Summe als verstreut über einen Wasserfall.

Kann dieser Analyzer für HAR-Dateien ein Secret übersehen?

Ja, und das steht auch so auf der Seite, statt etwas anderes zu behaupten. Er kennt Authorization-Header, Cookies, eine Liste gängiger eigener Auth-Header, Query-Parameter, die nach Zugangsdaten aussehen, und die Key-Formate von AWS, Stripe, GitHub, Slack und Google. Ein selbst gebauter Token im Request-Body unter einem Namen, den sonst niemand verwendet, wird nicht erkannt. Keine Befunde heißt nicht, dass die Datei sauber ist.

Werden die Secrets vollständig angezeigt?

Nein. Jeder Wert wird bis auf die ersten zwei Zeichen und seine Länge maskiert – genug, um ihn in der Datei zu finden, nicht genug, um ihn zu benutzen. Die Seite hat keinen Grund, funktionierende Zugangsdaten auf dem Bildschirm anzuzeigen, und du auch nicht, während du deinen Bildschirm teilst.

Gibt es eine Größenbeschränkung?

Mitschnitte einer vollen Seite haben oft mehrere Dutzend Megabyte. Alles wird im Browser geparst, die praktische Grenze ist also der Speicher deines Rechners, nicht ein Limit von uns. Auch bei so großen Dateien bleibt der Viewer flüssig, weil von jedem Response-Body nur die ersten 20.000 Zeichen durchsucht werden – die Header, in denen Zugangsdaten fast immer stehen, entgehen ihm dabei nicht.

Zeigt er ein Wasserfall-Diagramm?

Nein – stattdessen listet er die langsamsten Requests mit ihrer Aufschlüsselung der Zeiten. Ein Wasserfall ist die richtige Form, wenn du ein Muster über einen ganzen Seitenaufbau suchst, und den zeichnen dir die Devtools schon. Wenn du die Datei offen hast, weil etwas Bestimmtes kaputt ist, bringt dich eine sortierte Liste mit den Zahlen daran schneller ans Ziel.

Kann ein HAR Analyzer mehr als die Devtools?

Die Devtools zeigen dir die Session, in der du gerade bist. Ein Analyzer liest die Aufzeichnung einer Session – meist der von jemand anderem, auf einem Rechner, an den du nicht herankommst, zu einem Zeitpunkt, der vorbei ist. Genau dafür gibt es das Format, und genau deshalb muss die Datei geprüft werden, bevor sie weitergegeben wird: Die Aufzeichnung funktioniert noch lange, nachdem der Moment vorbei ist.

Warum ist das kostenlos, und was ist Tekk?

Tekk macht dein Produkt zu einem, das sich selbst verbessert: 16 Loops beobachten deine Codebase und bringen dir Proposals, die du mit Greenlight freigibst oder ablehnst, und dein Coding-Agent baut das Ergebnis. Diese Seite kostet im Betrieb nichts, weil nichts auf unseren Servern läuft – also keine Anmeldung, kein Limit und kein Upsell im Tool.