Aller au contenu
Toolars
Explorer

04 / DATA BOUNDARY

Centre de confiance

Chaque outil Toolars disponible indique où les données sont traitées. Lisez la description simple des limites, puis vérifiez-la vous-même : hôtes tiers vérifiés, en-têtes de sécurité servis et contrôles qui les étayent.

Les chiffres sont dérivés du registre d'exécution au moment du build — aucun n'est écrit à la main.

En langage clair

Les entrées et sorties des outils restent dans l'onglet actif, sauf si vous soumettez ou exportez explicitement quelque chose.

Dans votre navigateur
Les textes, images et fichiers sont traités dans l’onglet actif.
Services du compte
La connexion et les favoris peuvent être synchronisés via Supabase. Les entrées et sorties des outils sont exclues.
Limites de l’appareil
Les extensions, logiciels malveillants et fichiers téléchargés restent hors de ce périmètre.
Voir les détails

Dans l'onglet actif du navigateur

Les outils local d'abord disponibles transforment texte, code, images et documents avec les API du navigateur et du code chargé à la demande.

  • Mémoire active — L'entrée est conservée dans la mémoire de la page pour l'interaction en cours.
  • Aperçus temporaires — Les aperçus générés et les URL d'objet sont temporaires et sont libérés quand l'espace de travail se réinitialise ou se décharge.
  • Téléchargements explicites — Les téléchargements ne se produisent qu'après une action d'export explicite et relèvent ensuite du navigateur et du système d'exploitation.

Les données qui peuvent atteindre la couche service

L'authentification, les favoris, les retours explicites et les demandes d'outils utilisent des contrats de compte étroits quand Supabase est configuré.

  • Authentification — L'authentification stocke les identifiants de compte et de session nécessaires au maintien d'une session connectée.
  • Retours — Les retours incluent l'outil sélectionné, le type de retour, le chemin localisé et le texte que vous soumettez intentionnellement.
  • Demandes d'outils — Les demandes d'outils incluent un nom demandé, un cas d'usage et une référence HTTPS optionnelle fournie par vous.

Connaissez la frontière avant de commencer

Une déclaration de traitement local ne remplace ni la sécurité de l'appareil ni la manipulation soigneuse des fichiers téléchargés.

  • Frontière de l'appareil — Extensions de navigateur, logiciels malveillants, profils partagés et sauvegardes du système restent hors du contrôle de Toolars.
  • Futurs traitements — Les outils cloud ou hybrides prévus devront divulguer une frontière différente avant de devenir disponibles.
  • Sécurité des envois — Ne soumettez pas de secrets via les formulaires d'assistance, de contact, de demande ou de rapport de bug.

Où votre saisie est traitée

104Outils dans le catalogue
104Local
0Cloud
0Hybride
Mode d'exécution par catégorie du catalogue

Ces comptes sont calculés à partir du catalogue et du contrat de confidentialité d'exécution lors du build du site. En cas de désaccord, les outils concernés sont listés ici au lieu d'être discrètement cachés.

Un outil ne compte comme local que si son manifeste indique processingLocation browser, inputLeavesDevice false et retention none — l'étiquette est générée depuis le contrat, jamais depuis un texte promotionnel.

Mode d'exécution par catégorie du catalogue
CatégorieLocalCloudHybride
Rédaction700
Studio d'images1600
Design1700
Développement3100
Maquettes sociales1100
Outils PDF1000
Fichiers et utilitaires1200

Scripts tiers et connexions externes

Une liste volontairement courte. Les espaces de travail des outils ne chargent aucun script tiers ; les moteurs lourds sont servis en Web Workers de même origine, WASM et actifs statiques. Voici tout ce que l'enveloppe du site elle-même peut atteindre.

Voir la liste des connexions
Service / hôteTypeRôleLimite de données
track.toolars.comAnalytiqueReçoit les événements d'analytique de production via le proxy inverse first-party géré par PostHog, servi via Cloudflare.Uniquement des événements sans cookie d'une liste autorisée : pages vues assainies, dix-neuf événements produit nommés, Web Vitals et exceptions. Jamais de saisie, de sortie, de noms de fichiers ni de requêtes de recherche. Le SDK se charge paresseusement et uniquement sur l'origine de production.
us.posthog.comAnalytiqueIdentifie l'application PostHog gérée pour les liens d'interface et la configuration.Les événements ne circulent pas vers cet hôte ; la collecte passe par l'hôte proxy de la ligne ci-dessus.
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Backend de comptesAuthentification, synchronisation des favoris, abonnement à la newsletter et stockage des retours.Accessible uniquement lors d'actions explicites : connexion, abonnement ou envoi de formulaire. Les espaces de travail ne l'appellent jamais, et seule la clé publiable existe dans le bundle navigateur.
avatars.githubusercontent.comImage de profilPhotos de profil des comptes qui se connectent avec GitHub.Chargées via la liste stricte de l'optimiseur d'images et affichées uniquement dans le menu d'en-tête une fois connecté.
lh3.googleusercontent.comImage de profilPhotos de profil des comptes qui se connectent avec Google.La même liste stricte d'images ; rien n'est chargé avant la connexion.
buymeacoffee.comLien sortantLien optionnel de soutien au créateur dans le pied de page.Un simple lien sortant sans intégration ni script ; il ne reçoit aucune donnée sur votre usage des outils.
chromewebstore.google.comLien sortantLiens d'installation de l'extension et de sa fiche de magasin.Sortie externe uniquement, dans un nouvel onglet ; le magasin ne voit qu'une visite ordinaire, jamais le contenu de l'espace de travail.
x.com / github.comLien sortantLiens vers le compte X de Toolars et son dépôt GitHub public.Ces sites ne sont ouverts que lorsque vous suivez un lien. Aucun script social intégré ni requête automatique vers ces sites ; aucune entrée ou sortie des outils jointe au lien.
fonts.googleapis.com / fonts.gstatic.comTéléchargement au buildTéléchargement des fichiers de la police Barlow au moment du build via next/font.À l'exécution, les polices sont servies depuis les propres chemins statiques du site ; votre navigateur n'adresse aucune requête à Google Fonts pendant l'utilisation de Toolars.
vercel.app (hosting platform)InfrastructurePlateforme d'hébergement qui sert chaque réponse Toolars.Elle voit les métadonnées de requête que tout hébergeur voit (IP, en-têtes) ; les entrées et sorties des outils ne la traversent pas.
cloudflare.com (DNS + proxy layer)InfrastructureDNS de toolars.com et la couche proxy derrière l'hôte d'analytique.Traite les mêmes métadonnées de requête que la couche d'hébergement ; le contenu des espaces de travail ne la traverse pas.

Inventaire audité depuis le code déployé le 2026-09-19 : recherche d'origines externes dans tout l'arbre, liste d'images dans next.config.ts et contrat d'analytique de l'ADR 007.

En-têtes de sécurité, exactement comme servis

Ce sont les en-têtes de réponse sur chaque page Toolars, lus depuis les mêmes déclarations typées qui génèrent la configuration — le tableau ne peut pas dériver de ce qui est servi.

En-têteValeur
Strict-Transport-Securitymax-age=63072000; includeSubDomains
X-Content-Type-Optionsnosniff
Referrer-Policystrict-origin-when-cross-origin
X-Toolars-Releasea2f07a5231e271e8

Content-Security-Policy : volontairement non définie pour tout le site

Ce que cela signifie
Strict-Transport-Security
Le navigateur ne se connecte à toolars.com qu'en HTTPS pendant les deux prochaines années, sous-domaines inclus.
X-Content-Type-Options
Le navigateur refuse de deviner les types de contenu, bloquant une astuce courante de téléchargement détourné.
Referrer-Policy
Le référent complet n'est envoyé qu'à la même origine ; les requêtes croisées révèlent au plus l'hôte de base.
X-Toolars-Release
Une empreinte de 16 caractères des sources de ce déploiement. Comparez-la avec release.revision dans le reçu de vérification : des valeurs égales signifient que le reçu décrit exactement les octets qui vous sont servis.

Toolars n'envoie pas encore d'en-tête Content-Security-Policy pour tout le site, et cette page ne fera pas semblant. Une CSP qui bloque la mauvaise origine casserait la synchronisation des comptes ou le proxy d'analytique approuvé ; le contrôle est donc conçu d'abord contre les routes réelles, selon l'ADR 010. Les en-têtes ci-dessus sont servis aujourd'hui, et chaque limite réseau de cette page est appliquée dans le code et couverte par des tests. docs/adr/010-local-processing-evidence.md

Vérifiez vous-même en 30 secondes

Rien d'autre que votre navigateur n'est nécessaire. Utilisez un fichier synthétique inoffensif ou un texte d'exemple — jamais de vraies données sensibles, et ne publiez pas de capture ou de HAR qui les contiendraient.

  1. Charger un exemple
  2. Ouvrir le panneau Réseau
  3. Précharger, effacer et répéter
Voir la méthode complète
  1. Ouvrez un outil Toolars quelconque et chargez son exemple, ou collez une saisie synthétique inoffensive.
  2. Ouvrez les outils de développement du navigateur et basculez sur le panneau Réseau.
  3. Exécutez l'outil une fois et attendez la fin, pour que les actifs statiques soient préchauffés.
  4. Videz la liste des requêtes, relancez l'outil avec un second échantillon et masquez les propres chemins d'actifs du site (/_next/static, /generated, /fonts, /ocr).
  5. Comptez les requêtes qui transportent votre saisie. Le nombre attendu est zéro — la note de confidentialité de la page de l'outil indique sa limite exacte.

Ces mesures ont été enregistrées par scripts/capture-privacy-proof.mjs dans un vrai navigateur sur un build de production. Le script vérifie les envois de fichiers, les requêtes cross-origin et les fuites de marqueurs. La date et la version mesurée accompagnent les résultats.

Pour une vérification encore plus forte, répétez l'exécution réseau coupé après le préchauffage : les outils texte et image continuent de fonctionner ; les outils PDF ont besoin des actifs de worker de même origine déjà vus, c'est pourquoi le hors-ligne n'est pas revendiqué pour eux.

Résultats mesurés

Enregistré le 2026-09-27 · vérification interne

Enregistrée contre la révision 0d02cd2cc4ab3d28 ; cette page sert désormais a2f07a5231e271e8. Relancez la capture avant de lire ces chiffres comme une preuve actuelle.

Conversion d’imageEnvois de fichiers0Requêtes same-origin0Requêtes cross-origin0Voir les détails

Une conversion PNG → JPEG complète avec téléchargement, un marqueur canari caché dans le fichier de test : 0 requêtes, 0 envois, 0 fuites du canari dans la fenêtre mesurée.

Requêtes dans la fenêtre mesurée: 0

Conversion HEICEnvois de fichiers0Requêtes same-origin0Requêtes cross-origin0Voir les détails

Une conversion HEIC → JPEG avec téléchargement : le décodeur libheif paresseux (~3,3 Mo) ne se charge depuis les chemins de ce site que lors du premier usage ; la conversion répétée mesurée fait 0 requêtes, 0 téléversements et 0 fuies du marqueur, et la photo au nom canari ne quitte jamais l'appareil.

Requêtes dans la fenêtre mesurée: 0

Ressources de ce site chargées au premier usage
  • /generated/runtime/7879e1c92e1bdb08/libheif.js
  • /generated/runtime/e4aa8333fbe55ec7/libheif.wasm
  • /generated/runtime/6c728441042ea88c/heic-decode-worker.js
Reconnaissance OCREnvois de fichiers0Requêtes same-origin3Requêtes cross-origin0Voir les détails

Lors de la première utilisation, le moteur, le worker et chaque pack de langue choisi (13 disponibles, 0,4 à 2 MB chacun) ne se chargent que depuis les propres chemins de ce site ; des reconnaissances répétées en anglais et en chinois simplifié produisent chacune 3 requêtes et 0 envois.

Requêtes dans la fenêtre mesurée: 3

  • GET /generated/runtime/e4d26dedc913c87f/worker.min.js
  • GET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js
  • GET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz
Ressources de ce site chargées au premier usage
  • /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js
  • /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz
  • /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz
  • /generated/runtime/e4d26dedc913c87f/worker.min.js
Rotation PDFEnvois de fichiers0Requêtes same-origin0Requêtes cross-origin0Voir les détails

Chargement de l'échantillon fourni, rotation et téléchargement du résultat : 0 requêtes, 0 envois, 0 fuites du canari dans la fenêtre mesurée.

Requêtes dans la fenêtre mesurée: 0

Voir le reçu JSON

Ces résultats couvrent uniquement les exécutions enregistrées. Il s’agit de vérifications internes, pas d’un audit de sécurité indépendant.

Comment le traitement local est conçu

Le local d'abord est ici une architecture, pas un slogan. Trois mécanismes gardent vos données dans l'onglet.

Des Web Workers pour les transformations lourdes

Le hachage, l'évaluation d'expressions régulières, les différences, l'encodage et le traitement en flux s'exécutent dans des Web Workers dédiés, compilés depuis TypeScript par scripts/build-tool-workers.mjs. Les workers sont des scripts de même origine servis par ce site, donc l'onglet reste réactif pendant que des entrées de plusieurs mégaoctets travaillent en arrière-plan.

WASM et moteurs natifs, chargés à la demande

Le moteur OCR (environ 4 MB) et chaque pack de langue de 0,4 à 2 MB, ainsi que le runtime PDF, se chargent depuis les propres chemins statiques de ce site uniquement après l'ouverture de l'outil. La reconnaissance et l'analyse s'exécutent localement ; rien n'est envoyé pour traitement.

Chargement paresseux par outil

Le bundle d'exécution d'un outil se télécharge quand vous ouvrez cet outil — jamais sur les pages de catalogue ou d'accueil. Parcourir le catalogue ne transfère que des métadonnées, facile à confirmer dans le même panneau Réseau.

Comment fonctionnent les contrôles internes

L'un des contrôles ci-dessous est public : le harness de capture des preuves de confidentialité est publié sous licence MIT à l'adresse https://github.com/aixtral/toolars-open, vous pouvez donc le relancer vous-même contre le site en ligne. Les autres commandes s'exécutent dans le dépôt privé avec des versions fixées de Node et pnpm, et leurs méthodes sont résumées ici.

Reçu de vérification lisible par machine — les commandes, les mesures et ce qu'il ne prouve pas : reçu au format JSON.

ScriptCommandeCe qu'il vérifie
Harnais de preuve du traitement localscripts/verify-local-processing.mjscorepack pnpm verify:local-processingReconstruit le site, bloque le réseau dans un contexte de navigateur neuf, rejoue des flux de travail représentatifs avec des canaris synthétiques et compare les empreintes du code source et du build dans un reçu. Toute nouvelle tentative, tout cas sauté ou tout écart fait échouer l'exécution.
Audit des dépendances du noyau ouvertscripts/audit-local-core.mjscorepack pnpm audit:local-coreTrace le graphe de dépendances d'exécution des candidats à surface ouverte et consigne les empreintes SHA-256 des sources, les versions de dépendances installées et les textes de licence.
Build des workersscripts/build-tool-workers.mjscorepack pnpm worker:buildCompile chaque Web Worker du navigateur depuis sa source TypeScript en un fichier à empreinte de contenu sous public/generated, garantissant que le worker servi est exactement le code révisé.
Harnais de référencescripts/benchmark-tools.mjsnode scripts/benchmark-tools.mjsMesure l'entrée maximale acceptée, la durée d'exécution médiane et l'isolation réseau sans fuite pour chaque outil, puis écrit les données typées derrière la page de référence.
Harness de capture des preuves de confidentialitéscripts/capture-privacy-proof.mjsnode scripts/capture-privacy-proof.mjsPilote une conversion d'image, le moteur OCR et une rotation PDF dans Chromium headless tout en enregistrant chaque requête, y compris celles des Web Workers dédiés, puis écrit le JSON de preuve rendu par cette page. Échoue dès qu'un envoi, une requête cross-origin ou une fuite canari apparaît.
Voir les limites et durées mesurées

La page de référence affiche des données produites par le harnais dans un vrai navigateur headless, y compris les exécutions avec canaris qui prouvent que la saisie reste sur l'appareil.

Limites honnêtes : ce qui a réellement besoin du réseau

Le local d'abord ne signifie pas sans réseau. Ces fonctionnalités envoient des données parce qu'elles ne peuvent pas fonctionner autrement, et chacune dit exactement ce qui quitte l'appareil.

Synchronisation du compte et connexion

La connexion synchronise les favoris et l'état du compte via Supabase Auth et Postgres avec sécurité au niveau des lignes. Les entrées et sorties des outils ne font jamais partie de cette synchronisation — chaque espace de travail fonctionne déconnecté.

Newsletter

Le formulaire de pied de page n'envoie que l'adresse e-mail saisie à une RPC Supabase. Les événements d'analytique sur l'abonnement ne portent jamais cette adresse, conformément à la liste autorisée de l'ADR 007.

Retours, contact et rapports de bogue

Ces formulaires transmettent le texte rédigé et les métadonnées du formulaire via une action de serveur authentifiée, et chaque formulaire déclare sa charge exacte avant l'envoi. Le contenu de l'espace de travail n'est jamais joint.

Téléchargement du moteur et du modèle OCR

Lors de la première utilisation, l'outil OCR télécharge environ 4 MB de fichiers du moteur plus un pack de langue de 0,4 à 2 MB par langue choisie, depuis les propres chemins /ocr de ce site. Les téléchargements sont de même origine ; votre image et le texte reconnu restent dans l'onglet, et les packs téléchargés ne persistent que dans le cache hors ligne du navigateur.

Actifs du worker PDF

L'import et l'export PDF redémarrent le worker PDF.js, qui redemande les actifs statiques de même origine déjà vus pendant le préchauffage. C'est pourquoi l'usage hors ligne complet n'est pas revendiqué pour les outils PDF.

Liens sortants

Les liens pour les extensions, le soutien et les réseaux sociaux mènent au Chrome Web Store, à Buy Me a Coffee, X et GitHub. Ce sont de simples liens externes, sans scripts tiers intégrés.

Ce que nous ne revendiquons pas

Aucun audit de sécurité tiers et aucune certification de conformité. Le harness de capture des preuves de confidentialité publié séparément et les deux paquets Node locaux sont sous licence MIT ; le code source du site lui-même n'est pas publié et aucune licence ne lui est accordée. Cette page ne montre que ce qui est vérifiable aujourd'hui.

Mentions des composants tiers — les composants que ce site redistribue et leurs textes de licence complets : mentions et textes de licence.

Spécification d'exécution actuelle

Révision de la description du contrat: 2026-09-26.1

Local signifie que les entrées de l'espace de travail sont traitées dans le navigateur. Charger une page, un worker ou un codec peut encore nécessiter une requête réseau. Les actions de compte et l'analytique sans cookies de la liste autorisée ont des limites de service distinctes.

Le contrat hors ligne a2f07a5231e271e8 couvre 49 outils après préparation de chacun dans ce navigateur. Les ressources en cache peuvent être évacuées. Le rechargement hors ligne de Workflow n'est pas garanti ; les étapes PDF peuvent encore nécessiter des ressources statiques du worker.

Pour vérifier une promesse locale, chargez l'opération requise avec un échantillon non sensible, puis observez le trafic Fetch/XHR, WebSocket et worker pendant le traitement d'un échantillon nouveau. Testez le rechargement hors ligne séparément. Une trace réseau propre ne couvre que cette exécution ; ce n'est pas un audit de sécurité indépendant.

Questions sur le traitement local

Les outils Toolars fonctionnent-ils vraiment localement ?

Oui, pour chaque outil disponible : chacun porte un manifeste d'exécution typé déclarant un traitement dans le navigateur, une saisie qui ne quitte pas l'appareil et aucune rétention. Les étiquettes de cette page sont générées depuis ces manifestes. Tout futur outil cloud ou hybride devra dévoiler sa limite avant sa sortie.

Pourquoi n'y a-t-il pas de Content-Security-Policy ?

Une CSP mal construite casserait la synchronisation des comptes ou le proxy d'analytique approuvé ; le contrôle est donc d'abord construit contre les routes réelles, selon l'ADR 010. En attendant, cette page révèle honnêtement les en-têtes servis et les connexions externes possibles, et les limites réseau sont appliquées dans le code et couvertes par des tests.

L'analytique reçoit-elle ce que je tape dans un outil ?

Non. PostHog fonctionne sans cookie avec autocapture, enregistrement de session, persistance et profils de personne désactivés. La liste autorisée n'admet que des pages vues assainies, dix-neuf événements produit nommés, Web Vitals et exceptions — jamais de saisie, de sortie, de noms de fichiers ni de requêtes — et les événements ne sortent que par l'hôte proxy first-party.

À quel point les chiffres de cette page sont-ils actuels ?

Ils sont dérivés du registre d'exécution et du catalogue au moment du build, et la page de référence montre les exécutions mesurées derrière ses données. Si une étiquette du catalogue et un manifeste d'exécution divergent, l'écart est imprimé sur cette page au lieu d'être moyenné.

Aller plus loin

Voir les limites et durées mesurées

La page de référence affiche des données produites par le harnais dans un vrai navigateur headless, y compris les exécutions avec canaris qui prouvent que la saisie reste sur l'appareil.

Référence mesurée