Проверьте сами

Что мы проверяем

Инструменты на устройстве работают в изолированной рамке, политика безопасности которой заставляет браузер блокировать способы, которыми код инструмента мог бы отправить данные: fetch, XHR, WebSocket, beacon и загрузку чего-либо с других сайтов. Если это так, при обработке файла нет ни одного запроса с вашим файлом — разве что инструмент один раз подгружает собственные программные файлы.

Политика безопасности не может запретить рамке перейти по другому адресу внутри самой себя, поэтому ниже мы также проверяем, что во время работы инструмента не загружается новая страница.

Пошагово

1. Откройте инструмент, работающий на устройстве, — например, с отметкой «На вашем устройстве · без загрузки».
2. Откройте инструменты разработчика.
   • Chrome и Edge: нажмите F12 или Ctrl+Shift+I (⌘⌥I на Mac) и откройте вкладку Network («Сеть»).
   • Firefox: нажмите Ctrl+Shift+E (⌘⌥E на Mac).
   • Safari: сначала включите «Настройки → Дополнения → Показывать функции для веб-разработчиков», затем выберите «Разработка → Показать веб-инспектор» и откройте Network.
3. Подготовьте список. Включите «Preserve log» (Chrome, Edge) или «Persist logs» (Firefox) и очистите список.
4. Обработайте файл. Выберите файл и запустите инструмент, дождитесь результата.
5. Посмотрите на список.
   • Выберите фильтр Fetch/XHR (или XHR) и проверьте, нет ли запросов с содержимым файла. Если вы включили необязательную аналитику, страница может отправлять короткие POST-запросы на /api/v1/events с ключами страниц и этапами работы, без содержимого файлов. Их отправляет страница, а не рамка инструмента.
   • Отфильтруйте по «Doc» («HTML» в Firefox, «Document» в Safari): пока инструмент работает, новых строк нет. Если бы рамка перешла по другому адресу, переход был бы виден здесь.
   • Остальные строки, если они есть, — это программные файлы самого инструмента (скрипты) с его собственного адреса. В столбце размера нет отправки данных, и ни в одном запросе нет вашего файла.
6. По желанию: посмотрите на политику. Выберите в списке документ рамки инструмента и откройте заголовки ответа. В заголовке Content-Security-Policy есть connect-src 'none' — именно это правило соблюдает ваш браузер.
7. По желанию: отключите сеть. Когда инструмент загрузится, переключите панель Network в режим «Offline» и обработайте ещё один файл. Всё работает, потому что сеть не нужна.

Облачные инструменты выглядят иначе — и это честно

Инструменты, работающие на нашем сервере, предупреждают об этом ещё до выбора файла. После нажатия кнопки, запускающей загрузку, появится запрос PUT на /api/v1/jobs/…/input, тело которого — ваш файл, а затем короткие запросы статуса. Имени файла в запросах нет. До нажатия кнопки запроса с загрузкой нет.