04 / DATA BOUNDARY
Chacun des 103 outils Toolars disponibles possède un manifeste typé indiquant où vos données sont traitées. Cette page présente ces manifestes, les connexions externes possibles, les en-têtes de sécurité servis et la description des contrôles internes.
Les chiffres sont dérivés du registre d'exécution au moment du build — aucun n'est écrit à la main.
Ces comptes sont calculés à partir du catalogue et du contrat de confidentialité d'exécution lors du build du site. En cas de désaccord, les outils concernés sont listés ici au lieu d'être discrètement cachés.
Un outil ne compte comme local que si son manifeste indique processingLocation browser, inputLeavesDevice false et retention none — l'étiquette est générée depuis le contrat, jamais depuis un texte promotionnel.
| Catégorie | Local | Cloud | Hybride |
|---|---|---|---|
| Rédaction | 7 | 0 | 0 |
| Studio d'images | 16 | 0 | 0 |
| Design | 17 | 0 | 0 |
| Développement | 31 | 0 | 0 |
| Maquettes sociales | 11 | 0 | 0 |
| Outils PDF | 10 | 0 | 0 |
| Fichiers et utilitaires | 11 | 0 | 0 |
Une liste volontairement courte. Les espaces de travail des outils ne chargent aucun script tiers ; les moteurs lourds sont servis en Web Workers de même origine, WASM et actifs statiques. Voici tout ce que l'enveloppe du site elle-même peut atteindre.
| Service / hôte | Type | Rôle | Limite de données |
|---|---|---|---|
track.toolars.com | Analytique | Reçoit les événements d'analytique de production via le proxy inverse first-party géré par PostHog, servi via Cloudflare. | Uniquement des événements sans cookie d'une liste autorisée : pages vues assainies, seize événements produit nommés, Web Vitals et exceptions. Jamais de saisie, de sortie, de noms de fichiers ni de requêtes de recherche. Le SDK se charge paresseusement et uniquement sur l'origine de production. |
us.posthog.com | Analytique | Identifie l'application PostHog gérée pour les liens d'interface et la configuration. | Les événements ne circulent pas vers cet hôte ; la collecte passe par l'hôte proxy de la ligne ci-dessus. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Backend de comptes | Authentification, synchronisation des favoris, abonnement à la newsletter et stockage des retours. | Accessible uniquement lors d'actions explicites : connexion, abonnement ou envoi de formulaire. Les espaces de travail ne l'appellent jamais, et seule la clé publiable existe dans le bundle navigateur. |
avatars.githubusercontent.com | Image de profil | Photos de profil des comptes qui se connectent avec GitHub. | Chargées via la liste stricte de l'optimiseur d'images et affichées uniquement dans le menu d'en-tête une fois connecté. |
lh3.googleusercontent.com | Image de profil | Photos de profil des comptes qui se connectent avec Google. | La même liste stricte d'images ; rien n'est chargé avant la connexion. |
buymeacoffee.com | Lien sortant | Lien optionnel de soutien au créateur dans le pied de page. | Un simple lien sortant sans intégration ni script ; il ne reçoit aucune donnée sur votre usage des outils. |
chromewebstore.google.com | Lien sortant | Liens d'installation de l'extension et de sa fiche de magasin. | Sortie externe uniquement, dans un nouvel onglet ; le magasin ne voit qu'une visite ordinaire, jamais le contenu de l'espace de travail. |
fonts.googleapis.com / fonts.gstatic.com | Téléchargement au build | Téléchargement des fichiers de la police Barlow au moment du build via next/font. | À l'exécution, les polices sont servies depuis les propres chemins statiques du site ; votre navigateur n'adresse aucune requête à Google Fonts pendant l'utilisation de Toolars. |
vercel.app (hosting platform) | Infrastructure | Plateforme d'hébergement qui sert chaque réponse Toolars. | Elle voit les métadonnées de requête que tout hébergeur voit (IP, en-têtes) ; les entrées et sorties des outils ne la traversent pas. |
cloudflare.com (DNS + proxy layer) | Infrastructure | DNS de toolars.com et la couche proxy derrière l'hôte d'analytique. | Traite les mêmes métadonnées de requête que la couche d'hébergement ; le contenu des espaces de travail ne la traverse pas. |
Inventaire audité depuis le code déployé le 2026-09-19 : recherche d'origines externes dans tout l'arbre, liste d'images dans next.config.ts et contrat d'analytique de l'ADR 007.
Ce sont les en-têtes de réponse sur chaque page Toolars, lus depuis les mêmes déclarations typées qui génèrent la configuration — le tableau ne peut pas dériver de ce qui est servi.
| En-tête | Valeur | Ce que cela signifie |
|---|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains | Le navigateur ne se connecte à toolars.com qu'en HTTPS pendant les deux prochaines années, sous-domaines inclus. |
X-Content-Type-Options | nosniff | Le navigateur refuse de deviner les types de contenu, bloquant une astuce courante de téléchargement détourné. |
Referrer-Policy | strict-origin-when-cross-origin | Le référent complet n'est envoyé qu'à la même origine ; les requêtes croisées révèlent au plus l'hôte de base. |
Toolars n'envoie pas encore d'en-tête Content-Security-Policy pour tout le site, et cette page ne fera pas semblant. Une CSP qui bloque la mauvaise origine casserait la synchronisation des comptes ou le proxy d'analytique approuvé ; le contrôle est donc conçu d'abord contre les routes réelles, selon l'ADR 010. Les en-têtes ci-dessus sont servis aujourd'hui, et chaque limite réseau de cette page est appliquée dans le code et couverte par des tests. docs/adr/010-local-processing-evidence.md
Rien d'autre que votre navigateur n'est nécessaire. Utilisez un fichier synthétique inoffensif ou un texte d'exemple — jamais de vraies données sensibles, et ne publiez pas de capture ou de HAR qui les contiendraient.
Nous avons exécuté la même procédure pour vous. Chaque carte ci-dessous est produite par scripts/capture-privacy-proof.mjs pilotant un vrai navigateur headless contre un build de production. Les nombres de requêtes mesurés sont commités en tant que données typées, et le script échoue dès qu'un envoi, une requête cross-origin ou une fuite du marqueur canari apparaît.
Une conversion PNG → JPEG complète avec téléchargement, un marqueur canari caché dans le fichier de test : 0 requêtes, 0 envois, 0 fuites du canari dans la fenêtre mesurée.
Une conversion HEIC → JPEG avec téléchargement : le décodeur libheif paresseux (~3,3 Mo) ne se charge depuis les chemins de ce site que lors du premier usage ; la conversion répétée mesurée fait 0 requêtes, 0 téléversements et 0 fuies du marqueur, et la photo au nom canari ne quitte jamais l'appareil.
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsLors de la première utilisation, le moteur, le worker et chaque pack de langue choisi (13 disponibles, 0,4 à 2 MB chacun) ne se chargent que depuis les propres chemins de ce site (/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js · /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz · /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz · /generated/runtime/e4d26dedc913c87f/worker.min.js) ; des reconnaissances répétées en anglais et en chinois simplifié produisent chacune 3 requêtes et 0 envois.
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gzChargement de l'échantillon fourni, rotation et téléchargement du résultat : 0 requêtes, 0 envois, 0 fuites du canari dans la fenêtre mesurée.
La connexion synchronise les favoris (noms d'outils uniquement) et l'état du compte via Supabase avec sécurité au niveau des lignes. Les espaces de travail des outils n'appellent jamais le backend du compte : le traitement n'exige aucun compte et n'y envoie rien.
L'inventaire ci-dessus est généré par une recherche complète dans l'arbre des sources déployées. Aucun de ces hôtes n'est joignable depuis un espace de travail : ils y chargent zéro script et y reçoivent zéro donnée d'outil.
track.toolars.comAnalytiqueus.posthog.comAnalytiqueproject ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Backend de comptesavatars.githubusercontent.comImage de profillh3.googleusercontent.comImage de profilbuymeacoffee.comLien sortantchromewebstore.google.comLien sortantfonts.googleapis.com / fonts.gstatic.comTéléchargement au buildvercel.app (hosting platform)Infrastructurecloudflare.com (DNS + proxy layer)InfrastructurePour une vérification encore plus forte, répétez l'exécution réseau coupé après le préchauffage : les outils texte et image continuent de fonctionner ; les outils PDF ont besoin des actifs de worker de même origine déjà vus, c'est pourquoi le hors-ligne n'est pas revendiqué pour eux.
Le local d'abord est ici une architecture, pas un slogan. Trois mécanismes gardent vos données dans l'onglet.
Le hachage, l'évaluation d'expressions régulières, les différences, l'encodage et le traitement en flux s'exécutent dans des Web Workers dédiés, compilés depuis TypeScript par scripts/build-tool-workers.mjs. Les workers sont des scripts de même origine servis par ce site, donc l'onglet reste réactif pendant que des entrées de plusieurs mégaoctets travaillent en arrière-plan.
Le moteur OCR (environ 4 MB) et chaque pack de langue de 0,4 à 2 MB, ainsi que le runtime PDF, se chargent depuis les propres chemins statiques de ce site uniquement après l'ouverture de l'outil. La reconnaissance et l'analyse s'exécutent localement ; rien n'est envoyé pour traitement.
Le bundle d'exécution d'un outil se télécharge quand vous ouvrez cet outil — jamais sur les pages de catalogue ou d'accueil. Parcourir le catalogue ne transfère que des métadonnées, facile à confirmer dans le même panneau Réseau.
L'un des contrôles ci-dessous est public : le harness de capture des preuves de confidentialité est publié sous licence MIT à l'adresse https://github.com/aixtral/toolars-open, vous pouvez donc le relancer vous-même contre le site en ligne. Les autres commandes s'exécutent dans le dépôt privé avec des versions fixées de Node et pnpm, et leurs méthodes sont résumées ici.
Reçu de vérification lisible par machine — les commandes, les mesures et ce qu'il ne prouve pas : reçu au format JSON.
| Script | Commande | Ce qu'il vérifie |
|---|---|---|
Harnais de preuve du traitement localscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Reconstruit le site, bloque le réseau dans un contexte de navigateur neuf, rejoue des flux de travail représentatifs avec des canaris synthétiques et compare les empreintes du code source et du build dans un reçu. Toute nouvelle tentative, tout cas sauté ou tout écart fait échouer l'exécution. |
Audit des dépendances du noyau ouvertscripts/audit-local-core.mjs | corepack pnpm audit:local-core | Trace le graphe de dépendances d'exécution des candidats à surface ouverte et consigne les empreintes SHA-256 des sources, les versions de dépendances installées et les textes de licence. |
Build des workersscripts/build-tool-workers.mjs | corepack pnpm worker:build | Compile chaque Web Worker du navigateur depuis sa source TypeScript en un fichier à empreinte de contenu sous public/generated, garantissant que le worker servi est exactement le code révisé. |
Harnais de référencescripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Mesure l'entrée maximale acceptée, la durée d'exécution médiane et l'isolation réseau sans fuite pour chaque outil, puis écrit les données typées derrière la page de référence. |
Harness de capture des preuves de confidentialitéscripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Pilote une conversion d'image, le moteur OCR et une rotation PDF dans Chromium headless tout en enregistrant chaque requête, y compris celles des Web Workers dédiés, puis écrit le JSON de preuve rendu par cette page. Échoue dès qu'un envoi, une requête cross-origin ou une fuite canari apparaît. |
La page de référence affiche des données produites par le harnais dans un vrai navigateur headless, y compris les exécutions avec canaris qui prouvent que la saisie reste sur l'appareil.
Le local d'abord ne signifie pas sans réseau. Ces fonctionnalités envoient des données parce qu'elles ne peuvent pas fonctionner autrement, et chacune dit exactement ce qui quitte l'appareil.
La connexion synchronise les favoris et l'état du compte via Supabase Auth et Postgres avec sécurité au niveau des lignes. Les entrées et sorties des outils ne font jamais partie de cette synchronisation — chaque espace de travail fonctionne déconnecté.
Le formulaire de pied de page n'envoie que l'adresse e-mail saisie à une RPC Supabase. Les événements d'analytique sur l'abonnement ne portent jamais cette adresse, conformément à la liste autorisée de l'ADR 007.
Ces formulaires transmettent le texte rédigé et les métadonnées du formulaire via une action de serveur authentifiée, et chaque formulaire déclare sa charge exacte avant l'envoi. Le contenu de l'espace de travail n'est jamais joint.
Lors de la première utilisation, l'outil OCR télécharge environ 4 MB de fichiers du moteur plus un pack de langue de 0,4 à 2 MB par langue choisie, depuis les propres chemins /ocr de ce site. Les téléchargements sont de même origine ; votre image et le texte reconnu restent dans l'onglet, et les packs téléchargés ne persistent que dans le cache hors ligne du navigateur.
L'import et l'export PDF redémarrent le worker PDF.js, qui redemande les actifs statiques de même origine déjà vus pendant le préchauffage. C'est pourquoi l'usage hors ligne complet n'est pas revendiqué pour les outils PDF.
Les liens d'installation de l'extension mènent au Chrome Web Store et le bouton de soutien optionnel à Buy Me a Coffee. Ce sont des liens sortants ordinaires ; aucun n'intègre de scripts tiers dans les pages Toolars.
Aucun audit de sécurité tiers et aucune certification de conformité. Le harness de capture des preuves de confidentialité publié séparément et les deux paquets Node locaux sont sous licence MIT ; le code source du site lui-même n'est pas publié et aucune licence ne lui est accordée. Cette page ne montre que ce qui est vérifiable aujourd'hui.
Mentions des composants tiers — les composants que ce site redistribue et leurs textes de licence complets : mentions et textes de licence.
Oui, pour chaque outil disponible : chacun porte un manifeste d'exécution typé déclarant un traitement dans le navigateur, une saisie qui ne quitte pas l'appareil et aucune rétention. Les étiquettes de cette page sont générées depuis ces manifestes. Tout futur outil cloud ou hybride devra dévoiler sa limite avant sa sortie.
Une CSP mal construite casserait la synchronisation des comptes ou le proxy d'analytique approuvé ; le contrôle est donc d'abord construit contre les routes réelles, selon l'ADR 010. En attendant, cette page révèle honnêtement les en-têtes servis et les connexions externes possibles, et les limites réseau sont appliquées dans le code et couvertes par des tests.
Non. PostHog fonctionne sans cookie avec autocapture, enregistrement de session, persistance et profils de personne désactivés. La liste autorisée n'admet que des pages vues assainies, seize événements produit nommés, Web Vitals et exceptions — jamais de saisie, de sortie, de noms de fichiers ni de requêtes — et les événements ne sortent que par l'hôte proxy first-party.
Ils sont dérivés du registre d'exécution et du catalogue au moment du build, et la page de référence montre les exécutions mesurées derrière ses données. Si une étiquette du catalogue et un manifeste d'exécution divergent, l'écart est imprimé sur cette page au lieu d'être moyenné.
La page de référence affiche des données produites par le harnais dans un vrai navigateur headless, y compris les exécutions avec canaris qui prouvent que la saisie reste sur l'appareil.