# Extract Archive

> zip・rar・7z・tar.gzをブラウザだけで解凍。ファイルもパスワードも送信されません。展開先の外へ書き込もうとするエントリや解凍爆弾は、書き込む前にブロックします。

- URL: https://bytescope.dev/ja/extract-archive/
- Locale: ja · Also: [en](https://bytescope.dev/en/extract-archive.md) · [zh-Hant](https://bytescope.dev/zh-Hant/extract-archive.md)
- Runs: アーカイブの展開・復号・読み込みはすべてこのタブ内で完了します。データが外部に送信されることはなく、パスワードがページ外に出ることもありません。
- Requires: Any modern browser to browse and download the extracted files. Extracting straight into a folder on disk needs Chrome, Edge or Opera on desktop (File System Access API).
- Updated: 2026-09-08

## What it does

zip、7z、rar、tar、`tar.gz`、`tar.bz2`、`tar.xz`、`tar.zst`、単体のgzをドロップすると、その場で中身を取り出せます。すべてブラウザ内で完結します。RARと7zは、WebAssemblyにコンパイルしたlibarchive — デスクトップの解凍ツールと同じエンジンで、中途半端なJavaScript移植ではありません — が処理します。中身はファイルツリーとして表示され、1ファイルだけダウンロードする、複数を選んでzipにまとめて保存する、全部を展開する、のいずれもできます。Chromium系ブラウザならFile System Access APIで指定したフォルダに直接書き込めるので、ダウンロードフォルダを経由すらしません。それ以外のブラウザでは、同じ内容をzipに再パックしてダウンロードします。

### パスワードはこのマシンから出ません

暗号化されたアーカイブは、パスワードを入力すればローカルで復号されます。経路上にサーバーが存在しないので、パスワードにもファイルにも「送信される先」がそもそもありません。だからこそ、Webサイトには絶対にアップロードできない類のファイルにも使えます：クライアントへの納品物、パスワード付きのバックアップ、開示資料一式、ネットに繋がっていないマシンから持ち出したアーカイブ。正直な制限もひとつ：処理はすべてメモリ上で行われるため、上限を決めるのはディスクではなくRAMです。日常的なアーカイブなら問題ありませんが、数GB級は厳しく、ハードなサイズ上限も設けています。

### ディスクに書く前にチェックします

アーカイブの中のエントリ名は、作った人が好きに決められます。つまり `../../.ssh/authorized_keys` という名前のエントリを仕込むこともできて、素朴に展開すると指定したフォルダの外に書き込まれてしまいます。いわゆるzip slipで、実在の解凍ツールが20年間踏み続けてきた罠です。このツールは1バイトも書き込む前に全エントリのパスを解決し、フォルダの外へ出ようとするエントリは拒否したうえで名前を一覧します — 黙って書き込むことはありません。展開後の合計サイズも先に集計するので、42KBのzipがペタバイトに膨らむと主張するような解凍爆弾も、ディスクが埋まる前に止まります。

## Limits

Does not repair damaged archives and does not create archives (use zip-create); password-protected archives are supported.

## FAQ

### ファイルはどこかにアップロードされますか？

いいえ。展開も復号もブラウザ内のWebAssemblyコードが行い、サーバーがファイルに触れることは一切ありません。信じる必要すらありません：DevToolsのNetworkタブを開いたまま展開してみてください。ファイルを運ぶリクエストは1つも流れません。ページを読み込んだ後にオフラインにしても、展開はそのまま動きます。

### どのくらいのサイズまで扱えますか？RARが遅いのはなぜですか？

処理はすべてメモリ上なので、上限を決めるのはディスクではなくRAMです。ハードなサイズ上限があり、デスクトップなら数百MBは通常問題ありませんが、数GB級は厳しくなります。速度は別の話です：ソリッド圧縮されたRARや一部の特殊な7zフィルタは、全ファイルをひとつの連続したストリームとして圧縮しているため、1ファイル取り出すだけでもその手前まで全部デコードする必要があります。遅いのはフォーマットの性質で、ツールの問題ではありません。

### パスワード付きのアーカイブも展開できますか？

そのためのパスワード欄です。入力したパスワードは、デスクトップでzip・rar・7zを復号しているのと同じlibarchiveのWebAssembly版にそのまま渡され、処理はこのマシン上で完結します — 送信する先のサーバーが存在しないので、どこにも送られません。ただし、どこまで確認できているかは正直に書いておきます：仕組みは組み込み済みで、パスワードを間違えれば壊れたファイルではなく明確なエラーになりますが、実際に暗号化されたアーカイブを各形式で通した検証はまだ済んでいません。特にAES-256のzipは、そもそも復号できない可能性があります。対応表のその行を「未検証」にしているのはこのためです。とはいえ、復号を一切試みない隣のアーカイブ検査ツールとの実用上の違いは、やはりここにあります。

### 「フォルダに展開」の選択肢が表示されないのはなぜですか？

指定したフォルダへの直接書き込みにはFile System Access APIを使っており、現状これを実装しているのはChromium系（Chrome・Edge・Opera）だけです。FirefoxとSafariでは代わりに、全ファイルをzipに再パックしてダウンロードします。中身は同じで、unzipの手間が1回増えるだけです。

### アーカイブに危険なものが入っていたらどうなりますか？

書き込み前に2種類の攻撃を具体的にチェックします。展開先フォルダの外へ出ようとするパス — 例の `../../.ssh/authorized_keys` の手口 — を持つエントリは拒否し、何を仕込まれていたか分かるように名前を一覧します。また展開後の合計サイズを先に計算するので、解凍爆弾はメモリを食い尽くす前に弾かれます。一方で、これはマルウェアスキャンではありません。取り出したファイルの中身自体が悪意あるものという可能性は残るので、信頼できないアーカイブの中身は普通のダウンロードと同じ警戒で扱ってください。

## Related tools

- [Create ZIP](https://bytescope.dev/ja/zip-create.md) — フォルダやファイルをブラウザでZIPにまとめます。Chromiumならディスクへ直接書き込みます。
- [Archive Inspector](https://bytescope.dev/ja/archive-inspector.md) — zip・tar・7z・rar の中身を展開せずに確認します。