04 / DATA BOUNDARY
Cada uma das 103 ferramentas disponíveis do Toolars possui um manifesto tipado que indica onde os dados são processados. Esta página apresenta os manifestos, as possíveis ligações externas, os cabeçalhos de segurança servidos e a descrição das verificações internas.
Os números são derivados do registro de execução no build — nenhum é digitado manualmente.
Essas contagens são calculadas a partir do catálogo e do contrato de privacidade de execução quando o site é construído. Se os dois discordarem, as ferramentas afetadas são listadas aqui em vez de serem escondidas em silêncio.
Uma ferramenta só conta como local quando seu manifesto diz processingLocation browser, inputLeavesDevice false e retention none — o rótulo é gerado do contrato, nunca de texto promocional.
| Categoria | Local | Nuvem | Híbrida |
|---|---|---|---|
| Escrita | 7 | 0 | 0 |
| Estúdio de Imagens | 16 | 0 | 0 |
| Design | 17 | 0 | 0 |
| Desenvolvimento | 31 | 0 | 0 |
| Mockups para Redes Sociais | 11 | 0 | 0 |
| Ferramentas de PDF | 10 | 0 | 0 |
| Arquivos e Utilitários | 11 | 0 | 0 |
Uma lista propositalmente curta. Os espaços de trabalho das ferramentas não carregam nenhum script de terceiros; os motores pesados são servidos como Web Workers de mesma origem, WASM e ativos estáticos. A seguir está tudo o que a casca do site pode alcançar.
| Serviço / host | Tipo | Finalidade | Limite de dados |
|---|---|---|---|
track.toolars.com | Análise | Recebe os eventos de análise de produção pelo proxy reverso first-party gerenciado pela PostHog, servido via Cloudflare. | Apenas eventos sem cookie de uma lista permitida: páginas vistas higienizadas, dezesseis eventos de produto nomeados, Web Vitals e exceções. Nunca entrada, saída, nomes de arquivo ou consultas de busca. O SDK carrega de forma preguiçosa apenas na origem de produção. |
us.posthog.com | Análise | Identifica o aplicativo gerenciado da PostHog para links de interface e configuração. | Os eventos não fluem para este host; a coleta usa o host proxy da linha acima. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Backend de contas | Autenticação, sincronização de favoritos, assinatura de newsletter e armazenamento de feedback. | Acessado apenas em ações explícitas suas: entrar, assinar ou enviar um formulário. Os espaços de trabalho nunca o chamam, e só existe a chave publicável no bundle do navegador. |
avatars.githubusercontent.com | Imagem de perfil | Fotos de perfil de contas que entram com GitHub. | Carregadas pela lista restrita do otimizador de imagens e exibidas apenas no menu do cabeçalho quando você está logado. |
lh3.googleusercontent.com | Imagem de perfil | Fotos de perfil de contas que entram com Google. | A mesma lista restrita de imagens; nada é carregado antes de você entrar. |
buymeacoffee.com | Link externo | Link opcional de apoio ao criador no rodapé. | Um link externo simples, sem incorporação e sem script; ele não recebe nenhum dado sobre seu uso das ferramentas. |
chromewebstore.google.com | Link externo | Links de instalação da extensão e de sua página na loja. | Apenas saída externa em nova aba; a loja vê uma visita comum, nunca o conteúdo do espaço de trabalho. |
fonts.googleapis.com / fonts.gstatic.com | Download no build | Download dos arquivos da fonte Barlow no momento do build via next/font. | Em execução, as fontes são servidas pelos próprios caminhos estáticos do site; seu navegador não faz nenhuma requisição ao Google Fonts enquanto usa a Toolars. |
vercel.app (hosting platform) | Infraestrutura | Plataforma de hospedagem que serve cada resposta da Toolars. | Vê os metadados de requisição que qualquer hospedeiro veria (IP, cabeçalhos); a entrada e a saída das ferramentas não passam por ela. |
cloudflare.com (DNS + proxy layer) | Infraestrutura | DNS de toolars.com e a camada de proxy por trás do host de análise. | Processa os mesmos metadados de requisição da camada de hospedagem; o conteúdo do espaço de trabalho não flui por ela. |
Inventário auditado a partir do código implantado em 2026-09-19: busca de origens externas em toda a árvore, lista de imagens em next.config.ts e contrato de análise do ADR 007.
Estes são os cabeçalhos de resposta em cada página da Toolars, lidos das mesmas declarações tipadas que geram a configuração — a tabela não pode divergir do que é servido.
| Cabeçalho | Valor | O que significa |
|---|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains | O navegador se conecta a toolars.com apenas por HTTPS pelos próximos dois anos, incluindo subdomínios. |
X-Content-Type-Options | nosniff | O navegador se recusa a adivinhar tipos de conteúdo, bloqueando um truque comum de download disfarçado. |
Referrer-Policy | strict-origin-when-cross-origin | O referenciador completo só vai para a mesma origem; requisições cruzadas revelam no máximo o host básico. |
A Toolars ainda não envia um cabeçalho Content-Security-Policy para o site inteiro, e esta página não vai fingir o contrário. Uma CSP que bloqueia a origem errada quebraria a sincronização de contas ou o proxy de análise aprovado, então o controle está sendo projetado primeiro contra as rotas reais, conforme o ADR 010. Os cabeçalhos acima são servidos hoje, e cada limite de rede nesta página é aplicado em código e coberto por testes. docs/adr/010-local-processing-evidence.md
Nada além do navegador é necessário. Use um arquivo sintético inofensivo ou texto de exemplo — nunca dados reais sensíveis, e não publique capturas de tela ou HAR que os contenham.
Executamos o mesmo procedimento por você. Cada cartão abaixo é produzido pelo scripts/capture-privacy-proof.mjs conduzindo um navegador headless real contra uma compilação de produção. Os números de requisições medidos são commitados como dados tipados, e o script falha assim que aparece um envio, uma requisição cross-origin ou um vazamento do marcador canário.
Uma conversão PNG → JPEG completa com download, com um marcador canário escondido no arquivo de teste: 0 requisições, 0 envios, 0 vazamentos do canário na janela medida.
Uma conversão HEIC → JPEG com transferência: o descodificador libheif (~3,3 MB) preguiçoso só é carregado a partir dos caminhos deste site no primeiro uso; a conversão repetida medida faz 0 pedidos, 0 carregamentos e 0 fugas do marcador, e a fotografia com nome canário nunca sai do dispositivo.
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsNo primeiro uso, a engine, o worker e cada pacote de idioma escolhido (13 disponíveis, 0,4 a 2 MB cada) carregam apenas dos caminhos do próprio site (/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js · /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz · /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz · /generated/runtime/e4d26dedc913c87f/worker.min.js); repetições em inglês e chinês simplificado geram 3 requisições e 0 envios cada.
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gzCarregar a amostra incluída, girar e baixar o resultado: 0 requisições, 0 envios, 0 vazamentos do canário na janela medida.
Entrar sincroniza favoritos (apenas nomes de ferramentas) e o estado da conta pelo Supabase com segurança em nível de linha. Os espaços de trabalho nunca chamam o backend da conta: o processamento não precisa de conta e não envia nada a ela.
O inventário acima é gerado por uma busca completa na árvore do código implantado. Nenhum desses hosts é alcançável a partir de um espaço de trabalho: eles carregam zero scripts ali e recebem zero dados de ferramentas.
track.toolars.comAnáliseus.posthog.comAnáliseproject ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Backend de contasavatars.githubusercontent.comImagem de perfillh3.googleusercontent.comImagem de perfilbuymeacoffee.comLink externochromewebstore.google.comLink externofonts.googleapis.com / fonts.gstatic.comDownload no buildvercel.app (hosting platform)Infraestruturacloudflare.com (DNS + proxy layer)InfraestruturaPara uma verificação ainda mais forte, repita a execução com a rede desligada após o aquecimento: as ferramentas de texto e imagem continuam funcionando; as de PDF precisam dos ativos de worker de mesma origem já vistos, e é por isso que o uso off-line não é afirmado para elas.
O local primeiro é uma arquitetura aqui, não um slogan. Três mecanismos mantêm seus dados na aba.
Hashing, avaliação de expressões regulares, diffs, codificação e streaming executam dentro de Web Workers dedicados compilados de TypeScript pelo scripts/build-tool-workers.mjs. Os workers são scripts de mesma origem servidos por este site, então a aba permanece responsiva enquanto entradas de megabytes trabalham em segundo plano.
A engine OCR (cerca de 4 MB) e cada pacote de idioma de 0,4 a 2 MB, além do runtime de PDF, carregam dos caminhos estáticos do próprio site somente depois que você abre a ferramenta. O reconhecimento e a análise executam localmente; nada é enviado para processamento.
O pacote de execução de uma ferramenta é baixado quando você abre essa ferramenta — nunca nas páginas de catálogo ou inicial. Navegar pelo catálogo transfere apenas metadados, o que é fácil de confirmar no mesmo painel Rede.
Uma das verificações abaixo é pública: o harness de captura de evidências de privacidade está publicado sob licença MIT em https://github.com/aixtral/toolars-open, por isso pode voltar a executá-lo você mesmo contra o site em produção. Os restantes comandos são executados no repositório privado com versões fixadas de Node e pnpm, e os seus métodos estão resumidos aqui.
Recibo de verificação legível por máquina — os comandos, as medições e o que não prova: recibo em JSON.
| Script | Comando | O que verifica |
|---|---|---|
Harness de prova de processamento localscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Reconstrói o site, bloqueia a rede em um contexto de navegador novo, repete fluxos de trabalho representativos com canários sintéticos e compara as impressões digitais do código-fonte e do build em um recibo. Qualquer nova tentativa, caso pulado ou desvio faz a execução falhar. |
Auditoria de dependências do núcleo abertoscripts/audit-local-core.mjs | corepack pnpm audit:local-core | Traça o grafo de dependências de execução dos candidatos de superfície aberta e registra hashes SHA-256 do código-fonte, versões das dependências instaladas e textos de licença. |
Build de workersscripts/build-tool-workers.mjs | corepack pnpm worker:build | Compila cada Web Worker do navegador a partir de sua fonte TypeScript em um arquivo com hash de conteúdo sob public/generated, garantindo que o worker servido seja exatamente o código revisado. |
Harness de referênciascripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Mede a maior entrada aceita, o tempo de execução mediano e o isolamento de rede sem vazamentos por ferramenta, e escreve os dados tipados por trás da página de referência. |
Harness de captura de evidências de privacidadescripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Conduz uma conversão de imagem, o mecanismo de OCR e uma rotação de PDF no Chromium headless enquanto registra cada requisição, incluindo as dos Web Workers dedicados, depois grava o JSON de evidências que esta página renderiza. Falha diante de qualquer envio, requisição cross-origin ou vazamento do canário. |
A página de referência exibe dados produzidos pelo harness em um navegador headless real, incluindo as execuções com canário que provam que a entrada permanece no dispositivo.
Local primeiro não significa rede zero. Estes recursos enviam dados porque não funcionam de outro jeito, e cada um diz exatamente o que sai do dispositivo.
Ao entrar, os favoritos e o estado da conta são sincronizados via Supabase Auth e Postgres com segurança em nível de linha. A entrada e a saída das ferramentas nunca fazem parte dessa sincronização — cada espaço de trabalho funciona deslogado.
O formulário do rodapé envia apenas o endereço de e-mail digitado a uma RPC do Supabase. Os eventos de análise sobre a assinatura nunca carregam esse endereço, conforme a lista permitida do ADR 007.
Estes formulários enviam o texto escrito e os metadados do formulário por uma ação de servidor autenticada, e cada formulário declara sua carga exata antes do envio. O conteúdo do espaço de trabalho nunca é anexado.
No primeiro uso, a ferramenta de OCR baixa cerca de 4 MB de arquivos da engine mais um pacote de 0,4 a 2 MB por idioma escolhido, todos dos caminhos /ocr do próprio site. Os downloads são da mesma origem; sua imagem e o texto reconhecido ficam na aba, e os pacotes baixados persistem apenas no cache offline do navegador.
A importação e a exportação de PDF reiniciam o worker PDF.js, que busca novamente os ativos estáticos de mesma origem já vistos durante o aquecimento. É por isso que o uso off-line completo não é afirmado para as ferramentas de PDF.
Os links de instalação da extensão levam ao Chrome Web Store, e o botão opcional de apoio leva ao Buy Me a Coffee. Ambos são links externos comuns; nenhum incorpora scripts de terceiros nas páginas da Toolars.
Nem auditoria de segurança de terceiros nem certificação de conformidade. O harness de captura de evidências de privacidade publicado em separado e os dois pacotes Node locais estão sob licença MIT; o código-fonte do próprio site não está publicado e nenhuma licença sobre ele é concedida. Esta página mostra apenas o que é verificável hoje.
Avisos de terceiros — os componentes que este site redistribui e seus textos completos de licença: avisos e textos de licença.
Sim, para cada ferramenta disponível: cada uma tem um manifesto de execução tipado que declara processamento no navegador, entrada não saindo do dispositivo e sem retenção. Os rótulos desta página são gerados desses manifestos. Qualquer futura ferramenta de nuvem ou híbrida terá de revelar seu limite antes do lançamento.
Uma CSP mal construída quebraria a sincronização de contas ou o proxy de análise aprovado, então o controle está sendo construído primeiro contra as rotas reais, conforme o ADR 010. Até lá, esta página revela honestamente os cabeçalhos servidos e as conexões externas possíveis, e os limites de rede são aplicados em código e cobertos por testes.
Não. O PostHog roda sem cookie com autocaptura, gravação de sessão, persistência e perfis de pessoa desativados. A lista permitida admite apenas páginas vistas higienizadas, dezesseis eventos de produto nomeados, Web Vitals e exceções — nunca entrada, saída, nomes de arquivo ou consultas — e os eventos só saem pelo host proxy first-party.
Eles são derivados do registro de execução e do catálogo no build, e a página de referência mostra as execuções medidas por trás de seus dados. Se um rótulo de catálogo e um manifesto de execução divergirem, a divergência é impressa nesta página em vez de ser mediada.
A página de referência exibe dados produzidos pelo harness em um navegador headless real, incluindo as execuções com canário que provam que a entrada permanece no dispositivo.