← PC・IT用語集へ戻る

ペイロード

Payload
network security beginner
データ通信やファイルにおいて、ヘッダー情報などを除いた「送りたい実質的なデータ本体」。
ペイロード (Payload)

概要（サマリー）

ペイロード（Payload）は、データ通信やファイルのやり取りにおいて、送信先のアドレスや通信の制御情報といった「ヘッダー情報」などを除いた、相手に届けて処理させたい実質的な「データ本体」のことである。語源は貨物飛行機やトラックの「最大積載量」や「有料貨物」を指す言葉であり、乗り物（ヘッダーなど）の重量を除いた、運ぶ目的そのものである荷物（データ本体）のことを指す。ITの世界では、WebAPIとのやり取りや、セキュリティの脆弱性攻撃など、多岐にわたる文脈で使われる専門用語である。

詳細解説

ペイロードとは何か

ITにおけるペイロードを理解するために、現実世界の「手紙（郵便）」を想像すると分かりやすい。

  • 手紙の封筒（ヘッダー）：宛先の住所、送信元の氏名、切手、郵便消印など、手紙を届ける配送プロセスのために必要な情報。
  • 便箋の中身（ペイロード）：相手に本当に伝えたかった文章や写真。手紙を送る目的そのもの。

ネットワーク通信でも同様に、パケットの送信先や通信方法などの管理情報（IPヘッダーやHTTPヘッダーなど）を除いた、実際に送受信されるメッセージの内容やファイルの中身がペイロードと呼ばれる。

1. Web開発・API通信におけるペイロード

モダンなWeb開発で最も頻出するのが、WebAPIとのやり取りである「HTTPリクエスト」の文脈である。

例えば、Webサイトの入力フォームに名前とメールアドレスを記入して送信ボタンを押したとする。このとき、ブラウザからAPIサーバーに向かって送信されるリクエストデータの「ボディ（Body）」部分、すなわち送信されたユーザー情報そのものが「リクエスト・ペイロード」と呼ばれる。

通常、JSON（JavaScript Object Notation）などのフォーマットを使って記述される。

2. セキュリティにおけるペイロード

セキュリティの分野では、ペイロードは少し異なる「不穏な意味」で使われる。攻撃者がシステムの脆弱性（セキュリティホール）を突いて攻撃を仕掛ける際、ターゲットのコンピューター上で実際に実行させたい「攻撃用の悪意あるプログラムコード」のことをペイロードと呼ぶ。

例えるなら、ミサイル（攻撃するための手段や弱点を突くコード）の先端に搭載されている「爆薬（実際に被害をもたらす部分）」がペイロードである。

HTTP仕様における「ペイロード」と「content」

HTTPの古い仕様や開発現場では、リクエストやレスポンスの本文部分を「ペイロード」と呼ぶことが多い。一方で、現在のHTTP仕様であるRFC 9110では、HTTP/2やHTTP/3のフレーム単位のペイロードと混同しないよう、メッセージで実際に伝える中身を主に「content」と呼ぶよう整理されている。

そのため、実務では「リクエストのpayload」「request body」「content」が近い意味で使われることがある。初心者のうちは、APIの送受信で相手に渡したいデータ本体を指している、と理解しておけばよい。

API通信におけるペイロードのコード例

JavaScript（Fetch API）を使って、サーバーにJSON形式のペイロードを送信するリクエストコードの例を以下に示す。

// 送信したい実質的なデータ本体（これがペイロード）
const userPayload = {
    username: "novy_dev",
    email: "noveblo@example.com"
};

// サーバーにPOSTリクエストを送信する
fetch("https://api.example.com/v1/users", {
    method: "POST",
    headers: {
        // ヘッダー情報（データの形式や認証キーなど）
        "Content-Type": "application/json",
        "Authorization": "Bearer YOUR_ACCESS_TOKEN"
    },
    // ペイロードを文字列に変換してボディ（Body）に載せる
    body: JSON.stringify(userPayload)
})
.then(response => response.json())
.then(data => console.log("成功しました:", data));

このコードでは、userPayload というオブジェクトが通信を運ぶ貨物であり、実質的な「ペイロード」に該当する。

AIコーディングとの関係

AIコーディングにおいて、ペイロードは「AIにAPIリクエストの送信コードを書いてもらうとき」や「Webhookからの受信データを解析するとき」の必須用語として登場する。

AIへの効果的な指示の出し方

外部のWebサービス（例えばSlack、LINE、GitHubなど）のAPIを利用するコードを作成してもらう場合、AIに対して「どのようなペイロードが必要か」を問い合わせると正確な記述を得られやすい。

GitHubのWebhookから送られてくるペイロード（JSON形式）を受け取る、Node.js（Express）のプログラムを作成してください。ペイロードの中から、リポジトリ名とコミットしたユーザー名を取得してコンソールに出力する処理にしてください。

AIは、GitHubのドキュメントに準拠した具体的なペイロードの構造（JSONのオブジェクト構造）を想定し、そこから特定のキーを取り出す記述（req.body.repository.name など）を含んだコードを生成してくれる。

AIとペイロードを扱う際の注意点

AIにAPIのコードを書いてもらう際、ペイロードのパラメータ名（キー名）が古い仕様のままになっていることがある。キー名が1文字でも異なると（例: user_name と username）、サーバー側でデータを認識できずエラーになる。

また、セキュリティ関連のツール（ペネトレーションテストなど）を開発するために「攻撃用のペイロード」をAIに直接生成させようとすると、AIの倫理安全フィルター（バイパス防止機能）に引っかかり、コード出力が拒否されることが多い。その場合は、「入力データに対するサニタイズ（安全化）のコードを書いて」といった防御的な指示に切り替える必要がある。

よくある勘違い

ペイロード ＝ HTTPヘッダー？

「Webの通信パラメータなのだから、ヘッダーに載せるパラメータのことだろう」という混同がある。

正しくは真逆である。ヘッダー（Header）は「通信の制御や宛先情報」であり、ペイロード（Payload）は「ヘッダーによって運ばれる中身のデータ本体」である。ヘッダーは運送会社の送り状、ペイロードは段ボールの中身の商品である。

ペイロードにはセキュリティ情報は含まれない？

「データ本体だから、IDやメールアドレスなどの情報だけで、セキュリティの設定は関係ない」と考えがちである。

しかし、APIでペイロードをやり取りする際、そのデータが改ざんされていないかを確認する仕組みが使われることがある。たとえばJWT（JSON Web Token）では、ペイロード部分にユーザーIDや権限などの「claims」を入れ、別の署名部分によって改ざんを検出できるようにする。暗号化されていないJWTのペイロードは読めるため、パスワードや秘密鍵のような機密情報を入れてはならない。

ペイロードという名前の専用プログラムがある？

「ペイロードという新しいフレームワークやセキュリティツールがあるのでは」という誤解である。

ペイロードは、特定のツールや固有名詞ではなく、「通信データにおける実質的な中身の部分」や「攻撃プログラムの本体部分」を抽象的に指すネットワークおよびセキュリティ業界の「用語・概念」である。

まとめ

  • ペイロードは、ヘッダー等の管理情報を除いた、通信で送りたい「実質的なデータ本体」である。
  • Web開発では、APIリクエストのBodyに載せるJSONデータなどを指す。
  • セキュリティでは、システムの脆弱性を攻撃した際に「実際に実行させる悪意あるコード本体」を指す。
  • AIに対して「APIのペイロード形式」を質問することで、正しい接続プログラムを素早く書かせることができる。
  • 送り状（ヘッダー）と荷物（ペイロード）の関係としてイメージすると理解しやすい。

情報ソース

より詳しくAIに聞いてみよう

  • Web APIで使われる「リクエスト・ペイロード」と「クエリ文字列（URLパラメータ）」の使い分けを初心者に教えてください。
  • セキュリティ用語としての「エクスプロイトコード」と「ペイロード」の違いは何ですか？たとえ話で教えてください。
  • JWT（JSON Web Token）における「ペイロードセクション」には、一般的にどのような情報が含まれるか解説してください。
  • AIを使って、複雑なWebhookのペイロード（例：Stripe決済完了時の通知データ）のダミーデータを生成するプロンプトを教えてください。
  • HTTPのPOSTリクエストで送信できるペイロードのサイズ上限を変更する、NginxとPHPの設定方法を教えてください。