オンラインツールへファイルを渡す前に、内容・保存先・処理方式を確認する必要があります。APIキーや顧客情報など、原則アップロードを避けたいファイルと判断基準を整理します。
目次（8）
PDF変換、画像圧縮、文字起こし、Markdownプレビュー。便利なオンラインツールは増えていますが、ファイルを選ぶ前に「この内容を外部へ渡してよいか」を判断する必要があります。
問題は、オンラインツールそのものが危険ということではありません。処理方式、保存期間、運営主体、利用規約が分からないまま、重要なファイルを渡してしまうことです。
この記事では、オンラインツールへのアップロードを避けたほうがよい代表例と、判断するときの基準を整理します。
原則としてアップロードを避けたいファイル
1. APIキー・パスワード・秘密鍵が入ったファイル
最優先で避けたいのが、認証情報を含むファイルです。
例としては次のようなものがあります。
.env- APIキーを記載した設定ファイル
- データベース接続文字列
- SSH秘密鍵
- PGPやRSAの秘密鍵
- アクセストークン
- パスワード一覧
GitHubのSecret Scanningでも、秘密鍵、データベース接続文字列、各種サービスのアクセストークンなどがシークレットとして検出対象になっています。
これらは漏えいした場合、単に内容を見られるだけでなく、第三者からシステムへアクセスされる可能性があります。
変換や整形のためだけに、認証情報を含むファイルを第三者サービスへ渡す必要はありません。 必要なら機密部分を削除したコピーを作るか、完全にローカルで処理します。
2. 顧客・従業員・取引先の個人情報
次のような情報を含むファイルも、安易にアップロードしないほうが安全です。
- 氏名とメールアドレスの一覧
- 電話番号や住所
- 顧客台帳
- 履歴書
- 人事評価資料
- 給与データ
- 問い合わせ履歴
個人情報を扱う場合は、「便利だから」だけで外部サービスを選ぶべきではありません。会社や組織のルール、契約、利用目的、保存先を確認する必要があります。
特に、無料ツールへ業務データを入れる場合は、利用規約やプライバシーポリシーを確認し、業務上許可されたサービスかどうかを優先します。
3. 契約書・見積書・未公開の事業資料
個人情報が入っていなくても、公開前の情報には価値があります。
- 契約書
- 見積書
- 原価表
- 売上資料
- 事業計画
- 未公開のIR資料
- 製品仕様書
- 会議議事録
こうしたファイルは、内容そのものが企業秘密や交渉情報になり得ます。
「PDFにしたい」「要約したい」といった目的でも、まず社内で許可されているツールかを確認します。
4. 非公開のソースコードや設定ファイル
ソースコードには、仕様やアルゴリズムだけでなく、内部URL、環境名、コメント、設定値などが含まれることがあります。
特に注意したいのは、コードそのものよりも周辺ファイルです。
.env
config.yaml
settings.json
credentials.json
*.pem
*.key
見た目では「ただの設定ファイル」でも、認証情報や内部構成が含まれている可能性があります。
コードを外部ツールへ渡す場合は、リポジトリ全体ではなく必要な範囲だけに絞り、秘密情報が混ざっていないか確認したほうが安全です。
5. 「公開されたら困る」と直感的に分かるファイル
判断に迷った場合は、かなり単純な基準が使えます。
このファイルが明日インターネット上で公開されても問題ないか。
答えが「困る」であれば、少なくとも運営元も処理方式も分からないオンラインツールへ、そのままアップロードするべきではありません。
これは厳密な情報セキュリティ分類ではありませんが、個人利用での一次判断としては有効です。
「オンラインツールだから危険」ではない
ここは分けて考える必要があります。
Webページ上で動くツールでも、処理方式には違いがあります。
サーバー処理型
ファイルをサービス側のサーバーへ送信し、サーバーで変換・解析します。
高負荷な処理やAI処理には向いていますが、利用者は次の項目を確認する必要があります。
- どこへ送信されるか
- どれくらい保存されるか
- 学習や二次利用に使われるか
- 第三者サービスへ再送信されるか
- 削除方法があるか
ブラウザ内処理型
JavaScriptやWebAssemblyなどを使い、端末上のブラウザ内で処理します。
File APIの FileReader.readAsText() のように、ユーザーが選択したローカルファイルをブラウザ内で読み取る標準APIもあります。
ただし、「ブラウザ内で読み込む」だけでは外部送信しない証明にはなりません。 JavaScriptからAPIへ送る実装もできるためです。
ブラウザ完結ツールを見るときの確認ポイント
重要なファイルを扱うなら、説明文だけでなく構造も確認できると安心です。
1. Networkタブで通信を見る
ブラウザの開発者ツールにあるNetworkタブを開くと、ページがどこへ通信しているか確認できます。
ファイルを読み込んだ瞬間に未知のAPIへリクエストが出ていないかを見るだけでも判断材料になります。
2. CSPを確認する
Content-Security-Policy（CSP）は、ブラウザに対して「どの通信先やリソースを許可するか」を指定する仕組みです。
たとえば default-src 'none' を基点に必要な通信だけを許可する構成なら、ページ内JavaScriptの自由な外部通信をブラウザ側から制限できます。
oka-projectのツールでは、この考え方を使って外向き通信を制限しています。実際に外部画像の通信経路を見つけて塞いだ過程は、ブラウザ完結ツールの「送信しない」を、約束ではなく構造にする にまとめています。
ローカル処理でも万能ではない
ブラウザ内処理なら、サーバーへファイルを送るリスクは減らせます。ただし、それだけですべて安全になるわけではありません。
- 端末自体がマルウェアに感染している
- 悪意あるブラウザ拡張が入っている
- クリップボードへコピーした内容を別アプリが取得する
- 利用者自身が誤った宛先へ共有する
こうしたリスクは別に残ります。
つまり、ローカル処理は「外部サービスへデータを渡す経路を減らす」ための設計であって、情報管理全体を代替するものではありません。
具体例：同じPDFでも、含まれる情報で判断が変わる
「PDFなら危険」「画像なら安全」といったファイル形式だけの判定は不十分です。どんな情報を含むか、どのサービスへ、誰の権限で渡すのかを分けて考えます。
| ファイルの例 | 最初の判断 | 追加で確認すること |
|---|---|---|
| 公開済みの製品カタログ | 条件に合うオンラインツールを選べる余地がある | 再配布可能か、利用規約、変換結果 |
| 氏名・連絡先入りの顧客一覧 | 未知の外部サービスへそのまま送らない | 送信許可、匿名化、社内手続き |
| NDA対象の契約書 | 権限者の承認なく外部へ渡さない | 契約条項、保存期間、処理地域 |
| APIキー・秘密鍵を含む設定 | 送信しない。露出済みならローテーションも検討 | ソース内や履歴に秘密が残っていないか |
| 自作のテスト用ダミーCSV | 実データより取り扱いやすい | 本物のID・氏名・メールが混入していないか |
元データが必要ない検証であれば、まず同じ列構造の匿名サンプルで処理結果を確かめます。ブラウザ内処理かどうかの確認と、そもそもその内容を当該サービスへ渡してよいかの判断は別です。
アップロード前の5項目
オンラインツールを使う前に、最低限ここだけ確認します。
- このファイルには秘密情報が入っていないか
- 処理は端末内か、サーバー側か
- サーバーへ送る場合、保存期間は明記されているか
- 第三者への送信や二次利用について説明があるか
- 組織のルール上、そのサービスを使ってよいか
1つでも分からない場合は、重要なファイルをそのまま渡さないほうが安全です。
よくある質問
`.env`や設定ファイルをPDFにしたいだけでも、アップロードしてはいけない？
認証情報を含むファイルは最優先で避けます。変換や整形のためだけに第三者サービスへ渡す必要はなく、必要なら機密部分を削除したコピーを作るか、完全にローカルで処理します。
ブラウザ内で処理するツールなら安心して使える？
サーバーへファイルを送るリスクは減らせますが、「ブラウザ内で読み込む」だけでは外部送信しない証明にはなりません。端末の感染や悪意ある拡張機能、誤共有といったリスクも別に残ります。
ツールがファイルを送信していないかを自分で確認する方法は？
ブラウザの開発者ツールのNetworkタブで、ファイルを読み込んだ瞬間に未知のAPIへリクエストが出ていないかを見ます。加えて、CSPでどの通信先を許可しているかも判断材料になります。
アップロードしてよいか迷ったときの判断基準は？
「このファイルが明日インターネット上で公開されても問題ないか」を考えます。答えが「困る」なら、運営元も処理方式も分からないツールへそのままアップロードするべきではありません。
画像・PDFをアップロードせずに処理する選択肢
機密ファイルを扱う際は、まず組織の規則と処理に必要な権限を確認します。そのうえで、クラウドへアップロードする必要がない作業には、ブラウザ内処理型のツールを選ぶ余地があります。
画像の圧縮・リサイズ・形式変換なら Karuku が候補です。画像をブラウザ内で変換し、撮影情報の削除や複数画像の保存にも対応しています。
PDFの結合・分割・ページの並べ替えや回転であれば、2026年10月7日公開の Tojiru が使えます。契約書と添付資料を1つにまとめるなど、ファイル内容を変換サーバーに送らずに行いたい作業向けです。文字の追記や電子署名はできません。
どちらもブラウザ内処理ですが、端末や拡張機能の安全性、業務での利用許諾まで保証するものではありません。重要なファイルでは通信と保存後の結果を確認してください。
結論：便利さより先に「渡してよいファイルか」を決める
オンラインツールを安全に使ううえで一番重要なのは、サービスを細かく比較することよりも、そもそもそのファイルを外部へ渡してよいのかを先に決めることです。
APIキー、秘密鍵、個人情報、契約書、非公開コードなどは、原則として未知のサービスへそのままアップロードしない。必要なら機密部分を除去するか、ローカル処理を選ぶ。
この基準を持っておくだけで、便利なツールを使いながら不要なリスクをかなり減らせます。