パスワード入力のmaxlengthで長いパスワードで登録できたつもりになってた問題2026

password_maxlength.md 2012年版 https://gist.github.com/mala/4129717 https://togetter.com/li/2716116 15文字に切り詰めてパスワードを入力せよという案内を元に、なぜかパスワードが平文で保存されているという主張をする人がいる。これは全く発生している事象と関連がなく、根拠がない。 パスワードを任意の長さに切り詰めることが出来るということは平文あるいは復号可能な形式で保存されているからという推測のようだが、そもそも常識的に考えて、元々長かったパスワードが登録されていたところに、サーバー側で15文字の短いパスワードに勝手に更新する必要性がどこにあるというのか。そのような仕様変更を何のために行うというのか。 ファクトチェック 以前は15桁に制限されていて最近仕様が変更されたのはSBIベネフィットシステムズで

[lainof]

↓ログイン画面で15文字しか入力できないようになってるから、16文字以降は入力されていない。入力したつもりの人がいただけってこと。

[umaemong]

本件はこの指摘が正しいと思う。元々20桁入力できていたというのが勘違い。パスワード管理ツールあるある。

[n2sz]

まあパスワード欄だと入力したけど反映されないパターンは気付きにくいか。maxlength使わずに文字数チェックの実装の方がいいのかもねえ。

[sumomo-kun]

現在のパスワード「pass...1」新しいパスワード「pass...2」エラー「現在のパスワードと同じです」

[venus902]

最初よくわからなかったけど、「⚫︎⚫︎⚫︎⚫︎」が15個とかになると数えられないから入力したつもりになってしまうということか

[sgo2]

アカウント登録フォームではmaxlengthで切るけど、照合フォームでは切らないシステムが有って登録出来なかった事が有る。(呆れて登録するのはやめた)

[dekaino]

いにしえのUNIX V7からの伝統で、md5cryptが導入されるまではlinuxもbsdもパスワードは8桁まで有効でそれ以降は何を入れても影響なしだったね

[yosida95]

maxlength を指定するとブラウザはそれを超える入力を受け付けずエラーにもせず静かに切り詰める。そうして意図より短く設定されたパスワードが、後の仕様変更で入力した全桁検証されて一致しなくなったという指摘

[kz78]

これ「仕様変わったのでパスワードリセットしてください」で良かったのでは

[Fushihara]

これはmaxlengthの仕様が悪いよ。せめてペーストした時に文字数が超過した時はバリデーションエラーのUI出せよ。それかペースト自体を失敗させるか。サイレントで切るのが一番良くない。

[camellow]

パスワード設定時は文字数をしても勝手に切り詰めて登録されるのに、次回ログインの時は切り詰められないから結果としてパスワード間違いの判定をされサイトはたまにあるね。何度かやられた事がある。

[mohno]

そうだとしても、「常識的に考えて」←「20桁が長すぎるから15桁に縮めて」じゃないってことだし、それ自体が非常識なのでは。

[mkusaka]

password maxlengthで入力が64文字に切詰められ、登録表示と送信内容が不一致になる問題をファクトチェックする。平文保存は根拠なし。

[toaruR]

長くウェブやってるほど気付かない盲点だな（´－｀）

[strawberryhunter]

弊社が手掛けたシステムを確認したら、maxlength="200"みたいな制限はしてたな。最新のは無制限だった。

[koseki]

なるほどー。ユーザ側で15文字以上登録したつもりになってただけで実装には問題ないってことか

[auto_chan]

2037年7月アップデート：パスワードマネージャ側がこの問題を検出できるようになりました

[shoh8]

そう。私もこれだと思った。もともと15文字までしか入力できなかったのが、変更で15文字以上入力できるようになった

[FlowerLounge]

これを解説する際に肝になるであろう、パスワード入力時は表示が「⚫︎」になるという前提が書かれてないので最初読んでもわからなかった

[greenbow]

なるほど。ペーストしたとき切り詰められるけど、ドットの数が15文字分しかないことには気づきにくいか。 / 旧版フォームに「12345678901234567890」 をコピペしてみたけどぱっと見わからないかも。

[hogetax]

最初のポストの推測が稚拙というのはその通りだけど、そもそもハッシュ化は推奨であって要件によっては平文でも良いと思っているので全体としてモヤっとする

[rna]

たまによくあるやつ。新仕様移行後にパスワード変更してないユーザーはエラー後に旧仕様互換の動作で認証してから警告画面出すとかして欲しいよね。

[gewaa]

「パスワードシステムの改定で以前使っていた自動生成の20桁のパスワードが長すぎ、15桁までカットした」という最初のポストが事実と異なるのか。たしかにカットする意味がない点に違和感はあった。完全に納得。

[ustam]

ただ、元々15桁に制限してた理由が平文保存のためだとしたら、どうしてそれがまだ使えるの？　ハッシュ化に切替えたならパスワードリセットが必要では？　ということで、平文保存疑惑が払拭されたわけではなくない？

[hobbiel55]

つまり、認証時に16文字以降を間違って入力しても認証されてたってこと? どんなテスト項目になってたんだろうなあ。

[fashi]

「案内が不親切であろうといった批判は正当」案内に騙されたわ

[Windfola]

不親切と言うより、ごめんなさいすべき所を仕様変更で押し切るのはさすがにゴミでは。／SBIかあ

[nguyen-oi]

フロントのmaxlengthで勝手に切り詰めるの、昔からある罠だけど未だにデマの燃料になるんだな