04 / DATA BOUNDARY
Jedes der 103 verfügbaren Toolars-Tools besitzt ein typisiertes Laufzeitmanifest, das den Verarbeitungsort Ihrer Eingaben angibt. Diese Seite zeigt die Manifeste, mögliche externe Verbindungen, tatsächlich ausgelieferte Sicherheitsheader und Beschreibungen der internen Prüfungen.
Die Zahlen werden beim Build aus dem Laufzeitregister abgeleitet — keine ist von Hand geschrieben.
Diese Zählwerte werden beim Build der Seite aus Katalog und Laufzeit-Privatsphärevertrag berechnet. Stimmen beide nicht überein, werden die betroffenen Werkzeuge hier aufgelistet statt still verschwiegen.
Ein Werkzeug zählt nur als lokal, wenn sein Manifest processingLocation browser, inputLeavesDevice false und retention none angibt — das Etikett entsteht aus dem Vertrag, nie aus Werbetext.
| Kategorie | Lokal | Cloud | Hybrid |
|---|---|---|---|
| Schreiben | 7 | 0 | 0 |
| Bildstudio | 16 | 0 | 0 |
| Design | 17 | 0 | 0 |
| Entwickler | 31 | 0 | 0 |
| Social-Mockups | 11 | 0 | 0 |
| PDF-Tools | 10 | 0 | 0 |
| Dateien & Dienstprogramme | 11 | 0 | 0 |
Eine bewusst kurze Liste. Werkzeug-Workspaces laden keinerlei Drittanbieter-Skripte; schwere Laufzeiten kommen als gleichherkunftige Web Worker, WASM und statische Assets. Folgendes ist alles, was die Seitenhülle selbst erreichen kann.
| Dienst / Host | Typ | Zweck | Datengrenze |
|---|---|---|---|
track.toolars.com | Analytik | Empfängt Produktions-Analyseereignisse über den von PostHog betriebenen First-Party-Reverse-Proxy, ausgeliefert via Cloudflare. | Nur cookielose Ereignisse einer Freigabeliste: bereinigte Seitenaufrufe, sechzehn benannte Produktivitätsereignisse, Web Vitals und Ausnahmen. Niemals Eingaben, Ausgaben, Dateinamen oder Suchanfragen. Das SDK lädt träge und nur auf dem Produktions-Ursprung. |
us.posthog.com | Analytik | Identifiziert die gehostete PostHog-Anwendung für UI-Links und Konfiguration. | Ereignisse fließen nicht an diesen Host; die Erfassung läuft über den Proxy-Host in der Zeile darüber. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Konto-Backend | Authentifizierung, Favoriten-Sync, Newsletter-Anmeldung und Speicherung von Feedback. | Nur bei ausdrücklichen Handlungen erreichbar: Anmeldung, Abonnieren oder Absenden eines Formulars. Workspaces rufen ihn nie auf, und im Browser-Bundle existiert nur der öffentliche Schlüssel. |
avatars.githubusercontent.com | Profilbild | Profilbilder für Konten, die sich über GitHub anmelden. | Wird über die strenge Bildoptimierer-Freigabeliste geladen und nur im angemeldeten Kopfzeilenmenü angezeigt. |
lh3.googleusercontent.com | Profilbild | Profilbilder für Konten, die sich über Google anmelden. | Dieselbe strenge Bildfreigabeliste; vor der Anmeldung wird nichts geladen. |
buymeacoffee.com | Externer Link | Optionaler Unterstützungslink im Footer. | Ein normaler externer Link ohne Einbettung und ohne Skript; er erhält keine Daten über deine Werkzeugnutzung. |
chromewebstore.google.com | Externer Link | Links zur Erweiterungsinstallation und zum Store-Eintrag. | Nur externer Wechsel in einem neuen Tab; der Store sieht einen gewöhnlichen Besuch, niemals Workspace-Inhalte. |
fonts.googleapis.com / fonts.gstatic.com | Build-Zeit-Abruf | Build-Zeit-Download der Barlow-Schriftdateien über next/font. | Zur Laufzeit werden Schriften über eigene statische Pfade der Seite ausgeliefert; dein Browser stellt bei der Nutzung von Toolars keine Anfrage an Google Fonts. |
vercel.app (hosting platform) | Infrastruktur | Hosting-Plattform, die jede Toolars-Antwort ausliefert. | Sieht die Anfragemetadaten, die jeder Host sieht (IP, Header); Werkzeug-Ein- und Ausgaben laufen nicht durch sie. |
cloudflare.com (DNS + proxy layer) | Infrastruktur | DNS für toolars.com und die Proxy-Schicht hinter dem Analyse-Host. | Verarbeitet dieselben Anfragemetadaten wie die Hosting-Schicht; Workspace-Inhalte fließen nicht durch sie. |
Inventar am 2026-09-19 aus dem ausgelieferten Quellcode geprüft: Vollbaum-Suche nach externen Ursprüngen, Bildfreigabeliste in next.config.ts und der Analytikvertrag in ADR 007.
Das sind die Antwortheader auf jeder Toolars-Seite, gelesen aus denselben typisierten Deklarationen, die die Konfiguration erzeugen — die Tabelle kann nicht von der Auslieferung abweichen.
| Header | Wert | Was er bedeutet |
|---|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains | Der Browser verbindet sich zwei Jahre lang nur per HTTPS mit toolars.com, Subdomains eingeschlossen. |
X-Content-Type-Options | nosniff | Der Browser weigert sich, Inhaltstypen zu erraten, und blockt einen üblichen Download-Trick. |
Referrer-Policy | strict-origin-when-cross-origin | Der volle Referrer geht nur an denselben Ursprung; quellübergreifende Anfragen verraten höchstens den Basis-Host. |
Toolars sendet noch keinen seitenweiten Content-Security-Policy-Header, und diese Seite tut nicht so, als wäre er da. Eine CSP, die den falschen Ursprung blockt, würde Konto-Sync oder den genehmigten Analyseproxy kaputt machen — deshalb wird die Kontrolle nach ADR 010 zuerst gegen echte Routen und Browserverhalten gebaut. Die Header oben sind heute aktiv, und jede Netzwerkgrenze auf dieser Seite wird im Code erzwungen und durch Tests abgedeckt. docs/adr/010-local-processing-evidence.md
Mehr als dein Browser brauchst du nicht. Nimm eine harmlose synthetische Datei oder Beispieltext — niemals echte sensible Daten, und veröffentliche keine Screenshots oder HAR, die sie enthalten.
Wir haben dasselbe Verfahren für Sie ausgeführt. Jede Karte unten entsteht durch scripts/capture-privacy-proof.mjs, das einen echten Headless-Browser gegen einen Produktions-Build steuert. Die gemessenen Request-Zahlen werden als typisierte Daten committet; das Skript schlägt fehl, sobald ein Upload, eine Cross-Origin-Anfrage oder ein Canary-Leak auftaucht.
Eine vollständige PNG-zu-JPEG-Konvertierung inklusive Download, mit Canary-Marker in der Testdatei: 0 Requests, 0 Uploads, 0 Canary-Leaks im Messfenster.
Eine HEIC → JPEG-Konvertierung mit Download: Der träge libheif-Decoder (~3,3 MB) wird beim ersten Einsatz nur von den Pfaden dieser Website geladen; die gemessene Wiederholungskonvertierung erzeugt 0 Anfragen, 0 Uploads, 0 Canary-Lecks, und das Foto mit Canary-Name verlässt das Gerät nie.
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsBeim ersten Einsatz laden Engine, Worker und das gewählte Sprachpaket (13 verfügbar, je 0,4–2 MB) nur von den eigenen Pfaden dieser Seite (/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js · /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz · /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz · /generated/runtime/e4d26dedc913c87f/worker.min.js); wiederholte Erkennungen auf Englisch und Vereinfachtem Chinesisch erzeugen jeweils 3 Anfragen und 0 Uploads.
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gzGeladenes Beispiel drehen und Ergebnis herunterladen: 0 Requests, 0 Uploads, 0 Canary-Leaks im Messfenster.
Die Anmeldung synchronisiert Favoriten (nur Tool-Namen) und Kontostand über Supabase mit Row-Level-Security. Tool-Arbeitsbereiche rufen niemals das Konto-Backend auf: Die Verarbeitung braucht kein Konto und sendet nichts dorthin.
Die Liste oben stammt aus einer Vollsuche über den deployten Quellbaum. Keiner dieser Hosts ist aus einem Tool-Arbeitsbereich erreichbar: Sie laden dort null Skripte und empfangen null Tool-Daten.
track.toolars.comAnalytikus.posthog.comAnalytikproject ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Konto-Backendavatars.githubusercontent.comProfilbildlh3.googleusercontent.comProfilbildbuymeacoffee.comExterner Linkchromewebstore.google.comExterner Linkfonts.googleapis.com / fonts.gstatic.comBuild-Zeit-Abrufvercel.app (hosting platform)Infrastrukturcloudflare.com (DNS + proxy layer)InfrastrukturFür einen stärkeren Check wiederhole den Lauf nach dem Aufwärmen mit deaktiviertem Netz: Text- und Bildwerkzeuge laufen weiter; PDF-Werkzeuge brauchen die bereits gesehenen gleichherkunftigen Worker-Assets — deshalb wird Offline-Nutzung für sie nicht behauptet.
Lokal-first ist hier eine Architektur, kein Slogan. Drei Mechanismen halten deine Daten im Tab.
Hashing, Regex-Auswertung, Diff, Kodierung und Streaming laufen in eigenen Web Workern, die scripts/build-tool-workers.mjs aus TypeScript kompiliert. Worker sind gleichherkunftige Skripte dieser Seite, sodass der Tab reaktiv bleibt, während Megabyte-Eingaben im Hintergrund arbeiten.
Die OCR-Engine (etwa 4 MB) und jedes 0,4–2 MB große Sprachpaket sowie die PDF-Laufzeit laden erst nach dem Öffnen des Werkzeugs von den eigenen statischen Pfaden dieser Seite. Erkennung und Parsing laufen lokal; nichts wird zur Verarbeitung hochgeladen.
Das Ausführungsbündel eines Werkzeugs wird heruntergeladen, wenn du dieses Werkzeug öffnest — niemals auf Katalog- oder Startseite. Das Durchstöbern des Katalogs überträgt nur Metadaten, leicht im selben Netzwerk-Panel prüfbar.
Eine der Prüfungen unten ist öffentlich: Der Erfassungs-Harness für Privatsphäre-Nachweise ist unter MIT veröffentlicht und unter https://github.com/aixtral/toolars-open zu finden, sodass du ihn selbst gegen die Live-Seite erneut ausführen kannst. Die übrigen Kommandos laufen im privaten Repository mit festgelegten Node- und pnpm-Versionen, und ihre Methoden sind hier zusammengefasst.
Maschinenlesbarer Verifikationsbeleg — die Kommandos, die Messwerte und was er nicht beweist: JSON-Beleg.
| Skript | Befehl | Was es prüft |
|---|---|---|
Harness zum Nachweis lokaler Verarbeitungscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Baut die Seite neu, blockiert das Netz in einem frischen Browserkontext, wiederholt repräsentative Workflows mit synthetischen Canary-Strings und vergleicht Quell- und Build-Fingerabdrücke in einem Beleg. Jede Wiederholung, jeder übersprungene Fall oder jede Abweichung lässt den Lauf scheitern. |
Offene-Kern-Abhängigkeitsprüfungscripts/audit-local-core.mjs | corepack pnpm audit:local-core | Zeichnet den Ausführungs-Abhängigkeitsgraphen der Open-Core-Kandidaten auf und erfasst SHA-256-Quellhashes, installierte Abhängigkeitsversionen und Lizenztexte. |
Worker-Buildscripts/build-tool-workers.mjs | corepack pnpm worker:build | Kompiliert jeden Browser-Web-Worker aus seiner TypeScript-Quelle in eine Datei mit Inhaltshash unter public/generated, sodass der ausgelieferte Worker exakt dem geprüften Quellcode entspricht. |
Benchmark-Harnessscripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Misst pro Werkzeug die größte akzeptierte Eingabe, die mediane Laufzeit und die leckfreie Netzwerk-Isolation und schreibt die typisierten Daten hinter der Benchmark-Seite. |
Erfassungs-Harness für Privatsphäre-Nachweisescripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Steuert eine Bildkonvertierung, die OCR-Engine und eine PDF-Drehung in headless Chromium, zeichnet jeden Request auf — einschließlich der Fetches dedizierter Web Worker — und schreibt die JSON-Nachweise, die diese Seite rendert. Schlägt bei Upload, Cross-Origin-Request oder Canary-Leak fehl. |
Die Benchmark-Seite zeigt Daten, die der Harness in einem echten Headless-Browser erzeugt hat — inklusive der Canary-Läufe, die beweisen, dass Eingaben auf dem Gerät bleiben.
Lokal-first heißt nicht netzfrei. Diese Funktionen senden Daten, weil sie anders nicht funktionieren, und jede sagt genau, was das Gerät verlässt.
Beim Anmelden werden Favoriten und Kontostand über Supabase Auth und Postgres mit Zeilensicherheit synchronisiert. Werkzeug-Ein- und Ausgaben gehören nie zu diesem Sync — jeder Workspace funktioniert abgemeldet.
Das Footer-Formular sendet nur die von dir eingegebene E-Mail-Adresse an einen Supabase-RPC. Analyseereignisse über das Abonnieren tragen diese Adresse nach der ADR-007-Freigabeliste nie.
Diese Formulare übertragen deinen geschriebenen Text und Formular-Metadaten über eine authentifizierte Serveraktion, und jedes Formular nennt die genaue Ladung vor dem Absenden. Workspace-Inhalte werden nie angehängt.
Beim ersten Einsatz lädt das OCR-Werkzeug etwa 4 MB Engine-Dateien plus ein 0,4–2 MB großes Sprachpaket pro gewählter Sprache von den eigenen /ocr-Pfaden dieser Seite. Die Downloads sind selben Ursprungs; dein Bild und der erkannte Text bleiben im Tab, und geladene Pakete bleiben nur im Offline-Cache deines Browsers.
PDF-Import und -Export starten den PDF.js-Worker neu, der bereits beim Aufwärmen gesehene gleichherkunftige statische Assets erneut anfordert. Deshalb wird für die PDF-Werkzeuge keine vollständige Offline-Nutzung behauptet.
Erweiterungs-Links führen in den Chrome Web Store, der optionale Support-Knopf zu Buy Me a Coffee. Beides sind normale externe Links; keines bettet Drittanbieter-Skripte in Toolars-Seiten ein.
Kein Dritt-Sicherheitsaudit und keine Compliance-Zertifizierung. Der separat veröffentlichte Erfassungs-Harness für Privatsphäre-Nachweise und die beiden lokalen Node-Pakete stehen unter der MIT-Lizenz; der Quellcode der Website selbst ist nicht veröffentlicht, und es wird keine Lizenz dafür erteilt. Diese Seite zeigt nur, was heute überprüfbar ist.
Hinweise zu Drittanbietern — die Komponenten, die diese Website weiterverbreitet, und ihre vollständigen Lizenztexte: Hinweise und Lizenztexte.
Ja, für jedes verfügbare Werkzeug: Jedes trägt ein typisiertes Laufzeitmanifest, das Verarbeitung im Browser, keine Eingabe außerhalb des Geräts und keine Speicherung deklariert. Die Etiketten auf dieser Seite entstehen aus diesen Manifesten. Jedes künftige Cloud- oder Hybrid-Werkzeug muss seine Grenze vor dem Release offenlegen.
Eine schlecht gebaute CSP würde Konto-Sync oder den genehmigten Analyseproxy kaputt machen — deshalb wird die Kontrolle nach ADR 010 zuerst gegen echte Routen gebaut. Bis dahin offenbart diese Seite ehrlich die ausgelieferten Header und die möglichen externen Verbindungen, und die Netzwerkgrenzen werden im Code erzwungen und durch Tests abgedeckt.
Nein. PostHog läuft cookielos mit deaktiviertem Autocapture, Session-Recording, Persistence und Personenprofilen. Die Freigabeliste erlaubt bereinigte Seitenaufrufe, sechzehn benannte Produktivitätsereignisse, Web Vitals und Ausnahmen — niemals Eingaben, Ausgaben, Dateinamen oder Suchanfragen — und Ereignisse verlassen den Browser nur über den First-Party-Proxy-Host.
Sie werden beim Build aus dem Laufzeitregister und dem Katalog abgeleitet, und die Benchmark-Seite zeigt die Messläufe hinter ihren Daten. Weichen ein Katalog-Etikett und ein Laufzeitmanifest voneinander ab, wird die Abweichung auf dieser Seite gedruckt statt gemittelt.
Die Benchmark-Seite zeigt Daten, die der Harness in einem echten Headless-Browser erzeugt hat — inklusive der Canary-Läufe, die beweisen, dass Eingaben auf dem Gerät bleiben.