04 / DATA BOUNDARY
Setiap dari 103 alat Toolars yang tersedia memiliki manifes runtime berjenis yang menyatakan lokasi pemrosesan input. Halaman ini menampilkan manifes, kemungkinan koneksi eksternal, header keamanan yang disajikan, dan penjelasan pemeriksaan internal.
Angka diperoleh dari registri runtime saat build — tidak ada yang diketik manual.
Hitungan ini dihitung dari katalog dan kontrak privasi runtime saat situs dibangun. Jika keduanya berbeda, alat yang bersangkutan dicantumkan di sini alih-alih disembunyikan diam-diam.
Sebuah alat hanya dihitung lokal jika manifesnya menyatakan processingLocation browser, inputLeavesDevice false, dan retention none — label dibuat dari kontrak, bukan dari materi promosi.
| Kategori | Lokal | Cloud | Hibrida |
|---|---|---|---|
| Penulisan | 7 | 0 | 0 |
| Studio Gambar | 16 | 0 | 0 |
| Desain | 17 | 0 | 0 |
| Pengembang | 31 | 0 | 0 |
| Mockup Sosial | 11 | 0 | 0 |
| Alat PDF | 10 | 0 | 0 |
| Berkas & Utilitas | 11 | 0 | 0 |
Daftar yang sengaja dibuat pendek. Ruang kerja alat tidak memuat skrip pihak ketiga sama sekali; runtime berat disajikan sebagai Web Worker same-origin, WASM, dan aset statis. Berikut ini semua yang bisa dijangkau oleh kerangka situs itu sendiri.
| Layanan / host | Jenis | Tujuan | Batas data |
|---|---|---|---|
track.toolars.com | Analitik | Menerima peristiwa analitik produksi melalui proxy terbalik first-party yang dikelola PostHog, disajikan melalui Cloudflare. | Hanya peristiwa allowlist tanpa cookie: tampilan halaman yang disanitasi, enam belas peristiwa produk berama, Web Vitals, dan pengecualian. Tidak pernah berisi input, output, nama berkas, atau kueri pencarian. SDK dimuat malas hanya di origin produksi. |
us.posthog.com | Analitik | Mengidentifikasi aplikasi PostHog yang dikelola untuk tautan antarmuka dan konfigurasi. | Peristiwa tidak mengalir ke host ini; pengumpulan menggunakan host proxy pada baris di atas. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Backend akun | Autentikasi, sinkronisasi favorit, langganan newsletter, dan penyimpanan masukan. | Hanya terhubung saat kamu melakukan aksi tegas: masuk, berlangganan, atau mengirim formulir. Ruang kerja tidak pernah memanggilnya, dan hanya kunci publishable yang ada di bundel browser. |
avatars.githubusercontent.com | Gambar profil | Foto profil untuk akun yang masuk dengan GitHub. | Dimuat melalui allowlist pengoptimal gambar yang ketat dan hanya dirender di menu header setelah masuk. |
lh3.googleusercontent.com | Gambar profil | Foto profil untuk akun yang masuk dengan Google. | Allowlist gambar yang sama ketatnya; tidak ada apa pun yang dimuat sebelum kamu masuk. |
buymeacoffee.com | Tautan keluar | Tautan dukungan kreator opsional di footer. | Tautan keluar biasa tanpa sematan dan tanpa skrip; ia tidak menerima data tentang penggunaan alatmu. |
chromewebstore.google.com | Tautan keluar | Tautan pemasangan ekstensi dan daftar toko. | Hanya keluar di tab baru; toko hanya melihat kunjungan biasa, tidak pernah konten ruang kerja. |
fonts.googleapis.com / fonts.gstatic.com | Unduhan saat build | Unduhan berkas font Barlow saat build melalui next/font. | Font disajikan saat runtime dari jalur statis milik situs ini; browsermu tidak membuat permintaan ke Google Fonts saat menggunakan Toolars. |
vercel.app (hosting platform) | Infrastruktur | Platform hosting yang menyajikan setiap respons Toolars. | Hanya melihat metadata permintaan yang juga dilihat hosting mana pun (IP, header); input dan output alat tidak melewatinya. |
cloudflare.com (DNS + proxy layer) | Infrastruktur | DNS untuk toolars.com dan lapisan proxy di balik host analitik. | Menangani metadata permintaan yang sama dengan lapisan hosting; konten ruang kerja tidak mengalir melaluinya. |
Inventaris diaudit dari sumber terdeploy pada 2026-09-19: pencarian origin eksternal di seluruh pohon, allowlist gambar di next.config.ts, dan kontrak analitik dalam ADR 007.
Ini header respons di setiap halaman Toolars, dibaca dari deklarasi berjenis yang sama yang menghasilkan konfigurasi — tabel ini tidak bisa bergeser dari apa yang dikirim.
| Header | Nilai | Artinya |
|---|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains | Browser hanya terhubung ke toolars.com melalui HTTPS selama dua tahun ke depan, termasuk subdomain. |
X-Content-Type-Options | nosniff | Browser menolak menebak tipe konten, memblokir trik unduhan terselubung yang umum. |
Referrer-Policy | strict-origin-when-cross-origin | Referrer lengkap hanya dikirim ke origin yang sama; permintaan lintas origin membuka paling banyak nama host dasar. |
Toolars belum mengirim header Content-Security-Policy untuk seluruh situs, dan halaman ini tidak akan berpura-pura sebaliknya. CSP yang memblokir origin yang salah akan merusak sinkronisasi akun atau proxy analitik yang disetujui, jadi kontrol itu dirancang dulu terhadap rute nyata menurut ADR 010. Header di atas dikirim hari ini, dan setiap batas jaringan pada halaman ini ditegakkan dalam kode serta diliputi pengujian. docs/adr/010-local-processing-evidence.md
Tidak perlu alat selain browser yang sudah kamu punya. Gunakan berkas sintetis yang tidak berbahaya atau teks contoh — jangan pernah memakai data sensitif asli, dan jangan mempublikasikan tangkapan layar atau HAR yang memuatnya.
Kami sudah menjalankan prosedur yang sama untuk Anda. Setiap kartu di bawah ini dihasilkan oleh scripts/capture-privacy-proof.mjs yang mengendalikan browser headless sungguhan terhadap build produksi. Angka permintaan yang terukur dikomit sebagai data bertipe, dan skrip gagal begitu muncul unggahan, permintaan lintas-asal, atau kebocoran canary.
Konversi PNG → JPEG lengkap plus unduhan, dengan penanda canary tersembunyi di file uji: 0 permintaan, 0 unggahan, 0 kebocoran canary pada jendela terukur.
Satu konversi HEIC → JPEG plus unduhan: dekoder libheif (~3,3 MB) yang malas hanya dimuat dari jalur situs ini sendiri saat pertama dipakai; konversi ulang yang diukur menghasilkan 0 permintaan, 0 unggahan, 0 kebocoran canary, dan foto ber-nama canary tidak pernah meninggalkan perangkat.
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsSaat pertama digunakan, mesin, worker, dan paket bahasa pilihan (13 tersedia, masing-masing 0,4–2 MB) hanya dimuat dari jalur situs ini sendiri (/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js · /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz · /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz · /generated/runtime/e4d26dedc913c87f/worker.min.js); pengenalan berulang dalam bahasa Inggris dan Tionghoa Sederhana masing-masing menghasilkan 3 permintaan dan 0 unggahan.
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gzMemuat sampel bawaan, memutar, dan mengunduh hasilnya: 0 permintaan, 0 unggahan, 0 kebocoran canary pada jendela terukur.
Masuk menyinkronkan favorit (hanya nama alat) dan status akun melalui Supabase dengan keamanan tingkat baris. Ruang kerja alat tidak pernah memanggil backend akun: pemrosesan tidak butuh akun dan tidak mengirim apa pun ke sana.
Inventaris di atas dihasilkan dari pencarian menyeluruh pada pohon sumber yang di-deploy. Tidak ada host yang dapat dijangkau dari ruang kerja alat: mereka memuat nol skrip di sana dan menerima nol data alat.
track.toolars.comAnalitikus.posthog.comAnalitikproject ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Backend akunavatars.githubusercontent.comGambar profillh3.googleusercontent.comGambar profilbuymeacoffee.comTautan keluarchromewebstore.google.comTautan keluarfonts.googleapis.com / fonts.gstatic.comUnduhan saat buildvercel.app (hosting platform)Infrastrukturcloudflare.com (DNS + proxy layer)InfrastrukturUntuk pemeriksaan yang lebih kuat, ulangi dengan jaringan dimatikan setelah pemanasan: alat teks dan gambar tetap berjalan; alat PDF membutuhkan aset worker same-origin yang sudah terlihat, dan itu sebabnya penggunaan luring tidak diklaim untuk mereka.
Lokal-diutamakan di sini adalah arsitektur, bukan slogan. Tiga mekanisme menjaga data tetap di tab.
Hashing, evaluasi regex, diff, encoding, dan streaming berjalan di dalam Web Worker khusus yang dikompilasi dari TypeScript oleh scripts/build-tool-workers.mjs. Worker adalah skrip same-origin dari situs ini, sehingga tab tetap responsif saat input berukuran megabyte diproses di latar.
Mesin OCR (sekitar 4 MB) dan setiap paket bahasa 0,4–2 MB, serta runtime PDF, dimuat dari jalur statis situs ini sendiri hanya setelah Anda membuka alatnya. Pengenalan dan penguraian berjalan secara lokal; tidak ada yang diunggah untuk diproses.
Bundel eksekusi sebuah alat diunduh saat kamu membuka alat itu — tidak pernah di halaman katalog atau beranda. Menjelajah katalog hanya mengirim metadata, yang mudah dikonfirmasi di panel Jaringan yang sama.
Salah satu pemeriksaan di bawah ini bersifat publik: harness penangkap bukti privasi diterbitkan di bawah lisensi MIT di https://github.com/aixtral/toolars-open, sehingga kamu bisa menjalankannya ulang sendiri terhadap situs live. Perintah lainnya berjalan di repositori privat dengan versi Node dan pnpm yang dikunci, dan metodenya diringkas di sini.
Bukti verifikasi yang dapat dibaca mesin — perintahnya, hasil pengukurannya, dan apa yang tidak dibuktikannya: bukti JSON.
| Skrip | Perintah | Apa yang diverifikasi |
|---|---|---|
Harness bukti pemrosesan lokalscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Membangun ulang situs, memblokir jaringan dalam konteks browser baru, mengulang alur kerja representatif dengan kanari sintetis, dan membandingkan sidik jari sumber serta build menjadi tanda terima. Percobaan ulang, lewati, atau pergeseran apa pun membuat proses gagal. |
Audit dependensi inti terbukascripts/audit-local-core.mjs | corepack pnpm audit:local-core | Memetakan graf dependensi eksekusi kandidat permukaan terbuka dan mencatat hash SHA-256 sumber, versi dependensi terpasang, dan teks lisensi. |
Build workerscripts/build-tool-workers.mjs | corepack pnpm worker:build | Mengompilasi setiap Web Worker browser dari sumber TypeScript menjadi berkas berhash konten di public/generated, menjamin worker yang disajikan persis sama dengan sumber yang ditinjau. |
Harness tolok ukurscripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Mengukur input terbesar yang diterima, median waktu jalur, dan isolasi jaringan tanpa kebocoran per alat, lalu menulis data berjenis di balik halaman tolok ukur. |
Harness penangkap bukti privasiscripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Mengendalikan konversi gambar, mesin OCR, dan rotasi PDF di Chromium headless sambil merekam setiap permintaan termasuk permintaan Web Worker khusus, lalu menulis JSON bukti yang dirender halaman ini. Gagal jika ada unggahan, permintaan lintas-asal, atau kebocoran canary. |
Halaman tolok ukur menampilkan data yang dihasilkan harness di browser headless sungguhan, termasuk jalur kanari yang membuktikan input tetap di perangkat.
Lokal diutamakan bukan berarti bebas jaringan. Fitur-fitur ini mengirim data karena memang tidak bisa bekerja tanpa jaringan, dan masing-masing menyatakan tepat apa yang meninggalkan perangkat.
Masuk menyinkronkan favorit dan status akun melalui Supabase Auth dan Postgres dengan keamanan tingkat baris. Input dan output alat tidak pernah menjadi bagian dari sinkronisasi itu — setiap ruang kerja berfungsi tanpa masuk.
Formulir footer hanya mengirim alamat email yang kamu ketik ke RPC Supabase. Peristiwa analitik tentang langganan tidak pernah membawa alamat itu, sesuai allowlist ADR 007.
Formulir-formulir ini mengirim teks yang kamu tulis beserta metadata formulir melalui aksi server terautentikasi, dan setiap formulir menyatakan muatan tepatnya sebelum dikirim. Konten ruang kerja tidak pernah dilampirkan.
Saat pertama digunakan, alat OCR mengunduh sekitar 4 MB berkas mesin plus paket bahasa 0,4–2 MB per bahasa pilihan, semuanya dari jalur /ocr situs ini sendiri. Unduhan berasal dari asal yang sama; gambar dan teks yang dikenali tetap di tab, dan paket yang diunduh hanya tersimpan di cache luring peramban.
Impor dan ekspor PDF memulai ulang worker PDF.js, yang mengambil ulang aset statis same-origin yang sudah terlihat saat pemanasan. Itu sebabnya penggunaan luring penuh tidak diklaim untuk alat PDF.
Tautan pemasangan ekstensi mengarah ke Chrome Web Store, dan tombol dukungan opsional ke Buy Me a Coffee. Keduanya tautan keluar biasa; keduanya tidak menyematkan skrip pihak ketiga ke halaman Toolars.
Tidak ada audit keamanan pihak ketiga dan tidak ada sertifikasi kepatuhan. Harness penangkap bukti privasi yang diterbitkan terpisah dan dua paket Node lokal dilisensikan MIT; kode sumber situs web itu sendiri tidak diterbitkan dan tidak ada lisensi yang diberikan untuknya. Halaman ini hanya menampilkan apa yang dapat diverifikasi hari ini.
Pemberitahuan pihak ketiga — komponen yang didistribusikan ulang oleh situs ini dan teks lisensi lengkapnya: pemberitahuan dan teks lisensi.
Ya untuk setiap alat yang tersedia: masing-masing memiliki manifes runtime berjenis yang menyatakan pemrosesan di browser, input tidak meninggalkan perangkat, dan tanpa retensi. Label pada halaman ini dibuat dari manifes itu. Alat cloud atau hibrida di masa depan harus mengungkap batasnya sebelum dirilis.
CSP yang salah rancang akan merusak sinkronisasi akun atau proxy analitik yang disetujui, jadi kontrol itu dibangun dulu terhadap rute nyata menurut ADR 010. Sampai saat itu, halaman ini mengungkap dengan jujur header yang dikirim dan koneksi eksternal yang mungkin, dan batas jaringan ditegakkan dalam kode serta diliputi pengujian.
Tidak. PostHog berjalan tanpa cookie dengan autocapture, perekaman sesi, persistensi, dan profil pengguna nonaktif. Allowlist hanya menerima tampilan halaman yang disanitasi, enam belas peristiwa produk berama, Web Vitals, dan pengecualian — tidak pernah input, output, nama berkas, atau kueri — dan peristiwa hanya keluar melalui host proxy first-party.
Angka diperoleh dari registri runtime dan katalog saat build, dan halaman tolok ukur menampilkan jalur terukur di balik datanya. Jika label katalog dan manifes runtime berbeda, perbedaan itu dicetak di halaman ini alih-alih dirata-ratakan.
Halaman tolok ukur menampilkan data yang dihasilkan harness di browser headless sungguhan, termasuk jalur kanari yang membuktikan input tetap di perangkat.