Controleer het zelf

Wat je controleert

Tools op je apparaat draaien in een geïsoleerd frame met een beveiligingsbeleid waardoor je browser elke manier blokkeert waarop de code van de tool gegevens zou kunnen versturen: fetch, XHR, WebSocket, beacons en het laden van wat dan ook van andere sites. Als dat klopt, levert het verwerken van een bestand geen enkel verzoek op dat het bestand bevat: hooguit laadt de tool één keer zijn eigen programmabestanden.

Een beveiligingsbeleid kan niet voorkomen dat een frame zichzelf naar een ander adres stuurt. Daarom controleer je met de stappen hieronder ook dat er geen nieuwe pagina wordt geladen terwijl de tool werkt.

Stap voor stap

1. Open een tool die op je apparaat draait, bijvoorbeeld een met het label Op je apparaat · geen upload.
2. Open de ontwikkelaarstools.
   • Chrome en Edge: druk op F12 of Ctrl+Shift+I (⌘⌥I op een Mac) en open het tabblad Netwerk (Network).
   • Firefox: druk op Ctrl+Shift+E (⌘⌥E op een Mac).
   • Safari: zet eerst Instellingen → Geavanceerd → Toon functies voor webontwikkelaars aan, kies dan Ontwikkel → Toon webinspecteur en open Netwerk.
3. Maak de lijst klaar. Zet Preserve log (Chrome, Edge) of Persist logs (Firefox) aan en wis de lijst.
4. Verwerk een bestand. Kies een bestand en laat de tool draaien tot je het resultaat ziet.
5. Bekijk de lijst.
   • Filter op Fetch/XHR (of XHR) en controleer op verzoeken met bestandsinhoud. Als je optionele gebruiksanalyse hebt ingeschakeld, kan de pagina korte POST-verzoeken naar /api/v1/events sturen met paginasleutels en toolstappen, zonder bestandsinhoud. Deze komen van de pagina, niet van het toolframe.
   • Filter op Doc (HTML in Firefox, Document in Safari): terwijl de tool werkt, verschijnt er geen nieuwe regel. Een frame dat zichzelf naar een ander adres stuurt, zou hier te zien zijn.
   • De overige regels, als die er zijn, zijn de eigen programmabestanden (scripts) van de tool, geladen vanaf zijn eigen adres. De kolom Size (Grootte) toont geen upload, en geen van die verzoeken heeft je bestand als inhoud.
6. Optioneel: bekijk het beleid. Klik in de lijst op het document van het toolframe en open de responseheaders. De header Content-Security-Policy bevat connect-src 'none': de regel die je browser afdwingt.
7. Optioneel: ga offline. Zet het Netwerk-paneel op Offline zodra de tool is geladen, en verwerk nog een bestand. Het werkt nog steeds, want niets heeft het netwerk nodig.

Cloudtools zien er bewust anders uit

Tools die op onze server draaien, melden dat voordat je een bestand kiest. Nadat je op de knop hebt gedrukt die de upload start, zie je een PUT-verzoek naar /api/v1/jobs/…/input met je bestand als inhoud, gevolgd door korte statusverzoeken. Het verzoek bevat nooit de bestandsnaam. Vóór die klik is er geen uploadverzoek.