ForHosting KIT · データ変換・整形

【無料】危険なスクリプトを除いてHTMLを無害化

外部から入力されたHTMLのうち、スクリプトなど危険な要素だけを取り除き、安全な状態にするツールです。利用者の投稿を表示するコメント欄やレビューフォームの安全対策として使う機能です。

● 安定提供中無料・ブラウザ内で実行

無料で実行 API仕様を見る

ご利用方法ウェブAPIメールアプリ近日Telegram 近日

何を取り除くか

scriptタグやイベント属性など、ブラウザ上で意図しない動作を引き起こす可能性がある要素を取り除きます。見出しや箇条書きといった通常の書式は保たれます。

使う場面

コメント欄やレビュー投稿フォームのように、利用者が自由にHTMLやリッチテキストを入力できる仕組みでは、そのまま表示すると悪意のあるコードが混ざる危険があります。表示前にこの処理を通すことでリスクを減らせます。

許可するタグの調整

太字や見出しなど、残したい書式タグを指定して無害化できます。指定のないタグは初期設定の基準に従って取り除かれます。

完全な安全性の保証について

この機能は既知の危険な要素を取り除きますが、表示するシステム側の設定と合わせて対策することをおすすめします。

活用例

コメント欄の投稿対策

合同会社みどりデザインは、自社ブログのコメント欄に投稿されたHTMLをこの機能で無害化してから表示しています。

レビュー投稿フォームの安全対策

株式会社山田商事のECサイト担当は、商品レビューの投稿内容をこの機能で無害化してから公開しています。

問い合わせフォームの表示対策

山本翔太さんは、問い合わせフォームの自由記述欄をそのまま管理画面に表示する前に、この機能で無害化しています。

よくある質問

処理するHTMLはサーバーに保存されますか

保存されません。無害化の処理はブラウザ内で完結します。

どんな種類の危険なコードに対応していますか

scriptタグやイベント属性など、ブラウザ上で意図しない動作を引き起こす代表的な要素に対応しています。

見出しや太字などの書式は消えますか

通常の書式タグは保たれます。許可するタグを個別に指定することもできます。

この処理だけで安全性は完全に保証されますか

既知の危険な要素は取り除きますが、表示するシステム側の設定とあわせて対策することをおすすめします。

なぜ無料で使えるのですか

無害化の処理はブラウザの中だけで完結し、サーバー側の処理コストがかからないためです。

まとめて自動処理したい場合は

投稿を受け取るたびに自動で無害化したい場合は、APIから同じ処理を呼び出せます。1回のリクエストにつき$0.002です。

日本語のサポートはありますか

申し訳ありませんが、日本語でのサポートは行っておりません。サポートは英語またはスペイン語で、担当者が直接対応します。ツール自体は日本語で問題なくご利用いただけます。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/data/html-sanitize

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/data/html-sanitize \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d &#39;{"input":"…"}'

const res = await fetch("https://api.kit.forhosting.com/data/html-sanitize", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "input": "…"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/data/html-sanitize",
    headers={"Authorization": f"Bearer {os.environ[&#39;KIT_KEY']}"},
    json={
    "input": "…"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/data/html-sanitize", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => &#39;{"input":"…"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"input":"…"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/data/html-sanitize", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "input": "…"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "data.html_sanitize",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

制限

max_mb 25

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

KITの完全なドキュメントを見る →

無料で実行