Verificalo da te

Che cosa controllerai

Gli strumenti sul dispositivo funzionano in un riquadro isolato la cui policy di sicurezza fa sì che il browser blocchi i modi in cui il codice dello strumento potrebbe inviare dati: fetch, XHR, WebSocket, beacon e il caricamento di qualsiasi cosa da altri siti. Se è così, elaborare un file non produce alcuna richiesta che contenga il file: al massimo lo strumento carica una volta i propri file di programma.

Una policy di sicurezza non può impedire a un riquadro di navigare da solo verso un altro indirizzo, quindi l’elenco qui sotto controlla anche che non venga caricata nessuna nuova pagina mentre lo strumento lavora.

Passo passo

1. Apri uno strumento che funziona sul tuo dispositivo, ad esempio uno contrassegnato con Sul tuo dispositivo · nessun caricamento.
2. Apri gli strumenti per sviluppatori.
   • Chrome ed Edge: premi F12 oppure Ctrl+Maiusc+I (⌘⌥I su Mac), poi apri la scheda Rete (Network).
   • Firefox: premi Ctrl+Maiusc+E (⌘⌥E su Mac).
   • Safari: prima attiva Impostazioni → Avanzate → Mostra funzionalità per sviluppatori web, poi scegli Sviluppo → Mostra Web Inspector e apri Rete.
3. Prepara l’elenco. Attiva Preserve log (Chrome, Edge) o Persist logs (Firefox), poi svuota l’elenco.
4. Elabora un file. Scegli un file e avvia lo strumento finché non vedi il risultato.
5. Leggi l’elenco.
   • Filtra per Fetch/XHR (o XHR) e controlla le richieste contenenti dati del file. Se hai attivato le statistiche facoltative, la pagina può inviare brevi richieste POST a /api/v1/events con chiavi delle pagine e passaggi degli strumenti, senza contenuti dei file. Le invia la pagina, non il riquadro dello strumento.
   • Filtra per Doc (HTML in Firefox, Document in Safari): mentre lo strumento lavora non compare nessuna nuova voce. Un riquadro che avesse navigato altrove comparirebbe qui.
   • Le voci rimanenti, se ci sono, sono i file di programma dello strumento (script) caricati dal suo stesso indirizzo. La colonna Dimensioni non mostra alcun caricamento e nessuna di queste richieste ha il tuo file come contenuto.
6. Facoltativo: guarda la policy. Fai clic sul documento del riquadro dello strumento nell’elenco e apri le intestazioni della risposta. L’intestazione Content-Security-Policy contiene connect-src 'none': è la regola che il tuo browser applica.
7. Facoltativo: vai offline. Dopo che lo strumento si è caricato, imposta il pannello Rete su Offline ed elabora un altro file. Funziona ancora, perché non serve la rete.

Gli strumenti cloud appaiono diversi, ed è voluto

Gli strumenti che funzionano sul nostro server lo dichiarano prima che tu scelga un file. Dopo che premi il pulsante che avvia il caricamento, vedrai una richiesta PUT a /api/v1/jobs/…/input il cui contenuto è il tuo file, seguita da brevi richieste di stato. La richiesta non contiene mai il nome del file. Prima di quel clic non c’è nessuna richiesta di caricamento.