Vérifiez par vous-même

Ce que vous allez vérifier

Les outils sur l’appareil s’exécutent dans un cadre isolé dont la politique de sécurité oblige votre navigateur à bloquer tous les moyens par lesquels le code de l’outil pourrait envoyer des données : fetch, XHR, WebSocket, beacons et chargement de quoi que ce soit depuis d’autres sites. Si c’est bien le cas, le traitement d’un fichier ne produit aucune requête contenant le fichier : tout au plus, l’outil charge une fois ses propres fichiers de programme.

Une politique de sécurité ne peut pas empêcher un cadre de naviguer lui-même vers une autre adresse ; la liste ci-dessous vérifie donc aussi qu’aucune nouvelle page n’est chargée pendant que l’outil travaille.

Pas à pas

1. Ouvrez un outil qui fonctionne sur votre appareil, par exemple un outil marqué Sur votre appareil · sans envoi.
2. Ouvrez les outils de développement.
   • Chrome et Edge : appuyez sur F12 ou Ctrl+Maj+I (⌘⌥I sur Mac), puis ouvrez l’onglet Réseau (Network).
   • Firefox : appuyez sur Ctrl+Maj+E (⌘⌥E sur Mac).
   • Safari : activez d’abord Réglages → Avancés → Afficher les fonctionnalités pour les développeurs web, puis choisissez Développement → Afficher l’inspecteur web et ouvrez Réseau.
3. Préparez la liste. Activez Conserver le journal (Preserve log, dans Chrome et Edge) ou Conserver les journaux (Persist logs, dans Firefox), puis videz la liste.
4. Traitez un fichier. Choisissez un fichier et lancez l’outil jusqu’à voir le résultat.
5. Lisez la liste.
   • Filtrez par Fetch/XHR (ou XHR) et recherchez des requêtes contenant le fichier. Si vous avez activé les statistiques facultatives, la page peut envoyer de courtes requêtes POST à /api/v1/events avec des clés de pages et des étapes des outils, sans contenu de fichier. Elles proviennent de la page, pas du cadre de l’outil.
   • Filtrez sur Doc (HTML dans Firefox, Document dans Safari) : aucune nouvelle entrée n’apparaît pendant que l’outil travaille. Un cadre qui aurait navigué ailleurs apparaîtrait ici.
   • Les autres entrées éventuelles sont les propres fichiers de programme de l’outil (scripts), chargés depuis sa propre adresse. Leur colonne Taille ne montre aucun envoi, et aucune n’a votre fichier comme corps de requête.
6. Facultatif : examinez la politique. Cliquez sur le document du cadre de l’outil dans la liste et ouvrez ses en-têtes de réponse. L’en-tête Content-Security-Policy contient connect-src 'none' : c’est la règle qu’applique votre navigateur.
7. Facultatif : passez hors ligne. Une fois l’outil chargé, passez le panneau Réseau en mode Hors connexion (Offline) et traitez un autre fichier. L’outil fonctionne toujours, car rien n’a besoin du réseau.

Les outils cloud se comportent autrement, et c’est voulu

Les outils qui s’exécutent sur notre serveur l’indiquent avant que vous choisissiez un fichier. Après avoir cliqué sur le bouton qui lance l’envoi, vous verrez une requête PUT vers /api/v1/jobs/…/input dont le corps est votre fichier, suivie de courtes requêtes d’état. La requête ne contient jamais le nom du fichier. Avant ce clic, il n’y a aucune requête d’envoi.