04 / DATA BOUNDARY
Каждый из 103 доступных инструментов Toolars имеет типизированный манифест, указывающий место обработки ввода. Здесь показаны манифесты, возможные внешние соединения, выдаваемые заголовки безопасности и описание внутренних проверок.
Числа выводятся из реестра выполнения при сборке — ни одно не написано вручную.
Эти счётчики вычисляются из каталога и контракта приватности выполнения при сборке сайта. При расхождении затронутые инструменты перечисляются здесь, а не скрываются.
Инструмент считается локальным, только если его манифест содержит processingLocation browser, inputLeavesDevice false и retention none — метка генерируется из контракта, а не из рекламного текста.
| Категория | Локально | Облако | Гибрид |
|---|---|---|---|
| Текст | 7 | 0 | 0 |
| Студия изображений | 16 | 0 | 0 |
| Дизайн | 17 | 0 | 0 |
| Разработка | 31 | 0 | 0 |
| Макеты для соцсетей | 11 | 0 | 0 |
| PDF-инструменты | 10 | 0 | 0 |
| Файлы и утилиты | 11 | 0 | 0 |
Намеренно короткий список. Рабочие области инструментов не загружают никаких сторонних скриптов; тяжёлые среды выполнения поставляются как одноисточные Web Worker, WASM и статические ресурсы. Ниже — всё, к чему может обращаться оболочка сайта.
| Сервис / хост | Тип | Назначение | Граница данных |
|---|---|---|---|
track.toolars.com | Аналитика | Принимает события продуктовой аналитики через управляемый first-party обратный прокси PostHog, отдаваемый через Cloudflare. | Только события из разрешённого списка без cookie: очищенные просмотры страниц, шестнадцать именованных продуктовых событий, Web Vitals и исключения. Никогда — ввод, вывод, имена файлов или поисковые запросы. SDK лениво загружается только на продакшн-источнике. |
us.posthog.com | Аналитика | Идентифицирует управляемое приложение PostHog для ссылок интерфейса и конфигурации. | События не уходят на этот хост; сбор идёт через прокси-хост из строки выше. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Бэкенд аккаунтов | Аутентификация, синхронизация избранного, подписка на рассылку и хранение обратной связи. | Вызывается только при явных действиях: входе, подписке или отправке формы. Рабочие области никогда его не вызывают, а в браузерном бандле существует только публичный ключ. |
avatars.githubusercontent.com | Изображение профиля | Фотографии профилей аккаунтов, вошедших через GitHub. | Загружаются через строгий список разрешений оптимизатора изображений и отображаются только в меню шапки после входа. |
lh3.googleusercontent.com | Изображение профиля | Фотографии профилей аккаунтов, вошедших через Google. | Тот же строгий список изображений; до входа ничего не загружается. |
buymeacoffee.com | Внешняя ссылка | Опциональная ссылка поддержки автора в подвале. | Обычная внешняя ссылка без встраивания и скриптов; она не получает данных об использовании вами инструментов. |
chromewebstore.google.com | Внешняя ссылка | Ссылки на установку расширения и его страницу в магазине. | Только внешний переход в новой вкладке; магазин видит обычный визит и никогда — содержимое рабочей области. |
fonts.googleapis.com / fonts.gstatic.com | Загрузка при сборке | Загрузка файлов шрифта Barlow при сборке через next/font. | Во время работы шрифты отдаются с собственных статических путей сайта; браузер не делает запросов к Google Fonts при использовании Toolars. |
vercel.app (hosting platform) | Инфраструктура | Хостинговая платформа, отдающая каждый ответ Toolars. | Видит метаданные запросов, которые видел бы любой хостинг (IP, заголовки); ввод и вывод инструментов через него не проходят. |
cloudflare.com (DNS + proxy layer) | Инфраструктура | DNS для toolars.com и прокси-слой за аналитическим хостом. | Обрабатывает те же метаданные запросов, что и хостинговый слой; содержимое рабочих областей через него не течёт. |
Инвентаризация проведена по развёрнутому исходному коду 2026-09-19: полнодеревный поиск внешних источников, список изображений в next.config.ts и аналитический контракт ADR 007.
Это заголовки ответов на каждой странице Toolars, прочитанные из тех же типизированных деклараций, которые формируют конфигурацию — таблица не может разойтись с тем, что отдаётся.
| Заголовок | Значение | Что это значит |
|---|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains | Браузер два года подключается к toolars.com только по HTTPS, включая поддомены. |
X-Content-Type-Options | nosniff | Браузер отказывается угадывать типы содержимого, блокируя распространённый приём скрытой загрузки. |
Referrer-Policy | strict-origin-when-cross-origin | Полный referrer уходит только тому же источнику; при кросс-источниковых запросах раскрывается максимум базовый хост. |
Toolars пока не отправляет заголовок Content-Security-Policy для всего сайта, и эта страница не будет делать вид, что он есть. CSP, блокирующий не тот источник, сломал бы синхронизацию аккаунтов или одобренный аналитический прокси, поэтому этот контроль сначала проектируется под реальные маршруты согласно ADR 010. Заголовки выше отдаются уже сегодня, и каждая сетевая граница на этой странице принудительна в коде и покрыта тестами. docs/adr/010-local-processing-evidence.md
Кроме браузера ничего не нужно. Используйте безобидный синтетический файл или пример текста — никогда реальные чувствительные данные, и не публикуйте скриншоты или HAR, их содержащие.
Мы уже выполнили эту процедуру за вас. Каждая карточка ниже создаётся скриптом scripts/capture-privacy-proof.mjs, который управляет реальным headless-браузером против production-сборки. Измеренные числа запросов хранятся как типизированные данные, а при любом аплоаде, кросс-доменном запросе или утечке канарейки скрипт завершается с ошибкой.
Полная конвертация PNG → JPEG и скачивание с канареечным маркером внутри тестового файла: 0 запросов, 0 загрузок, 0 утечек канарейки в измеряемом окне.
Одна конвертация HEIC → JPEG со скачиванием: ленивый декодер libheif (~3,3 МБ) при первом использовании загружается только с путей этого сайта; повторная измеренная конвертация даёт 0 запросов, 0 загрузок, 0 утечек канарейки, а фото с канареечным именем не покидает устройство.
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsПри первом использовании движок, воркер и выбранный языковой пакет (13 доступно, по 0,4–2 MB) загружаются только с собственных путей этого сайта (/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js · /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz · /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz · /generated/runtime/e4d26dedc913c87f/worker.min.js); повторные распознавания на английском и упрощённом китайском дают по 3 запросов и 0 загрузок.
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gzЗагрузка встроенного образца, его поворот и скачивание результата: 0 запросов, 0 загрузок, 0 утечек канарейки в измеряемом окне.
Вход синхронизирует избранное (только названия инструментов) и состояние аккаунта через Supabase с защитой на уровне строк. Рабочие области инструментов никогда не обращаются к бэкенду аккаунта: обработке аккаунт не нужен и ничего туда не отправляется.
Список выше получен полным поиском по дереву развёрнутого исходника. Ни один из этих хостов недоступен из рабочей области инструмента: они не загружают там ни одного скрипта и не получают данные инструментов.
track.toolars.comАналитикаus.posthog.comАналитикаproject ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Бэкенд аккаунтовavatars.githubusercontent.comИзображение профиляlh3.googleusercontent.comИзображение профиляbuymeacoffee.comВнешняя ссылкаchromewebstore.google.comВнешняя ссылкаfonts.googleapis.com / fonts.gstatic.comЗагрузка при сборкеvercel.app (hosting platform)Инфраструктураcloudflare.com (DNS + proxy layer)ИнфраструктураДля более сильной проверки повторите запуск с отключённой сетью после прогрева: текстовые и графические инструменты продолжат работать; PDF-инструментам нужны уже виденные одноисточные ресурсы Worker — именно поэтому для них не заявляется офлайн-использование.
Локальность здесь — архитектура, а не лозунг. Три механизма удерживают данные во вкладке.
Хеширование, вычисление регулярных выражений, сравнения, кодирование и потоковая обработка выполняются в выделенных Web Worker, собираемых из TypeScript скриптом scripts/build-tool-workers.mjs. Worker — одноисточный скрипт этого сайта, поэтому вкладка остаётся отзывчивой, пока в фоне обрабатываются мегабайты ввода.
Движок OCR (около 4 MB) и каждый языковой пакет 0,4–2 MB, а также PDF-рантайм загружаются с собственных статических путей этого сайта только после открытия инструмента. Распознавание и разбор выполняются локально; ничего не отправляется на обработку.
Исполнительный бандл инструмента скачивается при открытии этого инструмента — никогда на страницах каталога или главной. Просмотр каталога передаёт только метаданные, что легко проверить в той же панели Сеть.
Одна из проверок ниже открыта: харнесс захвата privacy-доказательств выпущен под лицензией MIT по адресу https://github.com/aixtral/toolars-open, поэтому вы можете самостоятельно перезапустить его на опубликованном сайте. Остальные команды выполняются в закрытом репозитории с закреплёнными версиями Node и pnpm, а их методы изложены здесь.
Машиночитаемая квитанция проверки — команды, измерения и то, что она не доказывает: квитанция в формате JSON.
| Скрипт | Команда | Что проверяет |
|---|---|---|
Харнес доказательства локальной обработкиscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Пересобирает сайт, блокирует сеть в новом контексте браузера, повторяет репрезентативные рабочие процессы с синтетическими канарейками и сравнивает отпечатки исходников и сборки в квитанции. Любая повторная попытка, пропуск или дрейф делают запуск провальным. |
Аудит зависимостей открытого ядраscripts/audit-local-core.mjs | corepack pnpm audit:local-core | Строит граф исполнительных зависимостей кандидатов открытой поверхности и фиксирует SHA-256 хеши исходников, версии установленных зависимостей и тексты лицензий. |
Сборка Workerscripts/build-tool-workers.mjs | corepack pnpm worker:build | Компилирует каждый браузерный Web Worker из его TypeScript-исходника в файл с хешем содержимого в public/generated, гарантируя, что отдаваемый Worker — ровно тот код, который прошёл ревью. |
Бенчмарочный харнесscripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Измеряет максимально принимаемый ввод, медианное время выполнения и изоляцию сети с нулём утечек для каждого инструмента, затем записывает типизированные данные за страницей бенчмарков. |
Харнесс захвата privacy-доказательствscripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Управляет конвертацией изображения, OCR-движком и поворотом PDF в headless Chromium, записывая каждый запрос, включая обращения выделенных Web Worker, затем записывает JSON-доказательство, который рендерит эта страница. Падает при любом аплоаде, кросс-доменном запросе или утечке канарейки. |
Страница бенчмарков показывает данные, произведённые харнесом в реальном безголовом браузере, включая канареечные запуски, доказывающие, что ввод остаётся на устройстве.
Локальность не означает отсутствия сети. Эти функции отправляют данные, потому что иначе не могут работать, и каждая точно указывает, что покидает устройство.
При входе избранное и состояние аккаунта синхронизируются через Supabase Auth и Postgres с защитой на уровне строк. Ввод и вывод инструментов никогда не входят в эту синхронизацию — каждая рабочая область работает без входа.
Форма в подвале отправляет только введённый вами адрес электронной почты в RPC Supabase. Аналитические события о подписке никогда не содержат этот адрес, согласно разрешённому списку ADR 007.
Эти формы отправляют написанный вами текст и метаданные формы через аутентифицированное серверное действие, и каждая форма указывает точный состав перед отправкой. Содержимое рабочей области никогда не прикрепляется.
При первом использовании инструмент OCR загружает около 4 MB файлов движка плюс языковой пакет 0,4–2 MB на каждый выбранный язык — всё с собственных путей /ocr этого сайта. Загрузки идут с того же источника; изображение и распознанный текст остаются во вкладке, а скачанные пакеты хранятся только в офлайн-кеше браузера.
Импорт и экспорт PDF перезапускают Worker PDF.js, который повторно запрашивает одноисточные статические ресурсы, уже виденные при прогреве. Именно поэтому для PDF-инструментов не заявляется полная офлайн-работа.
Ссылки установки расширения ведут в Chrome Web Store, а опциональная кнопка поддержки — на Buy Me a Coffee. Обе — обычные внешние ссылки; ни одна не встраивает сторонние скрипты в страницы Toolars.
Мы не заявляем ни сторонних аудитов безопасности, ни сертификаций соответствия. Отдельно опубликованный харнесс захвата privacy-доказательств и два локальных Node-пакета выпущены под лицензией MIT; исходный код самого сайта не опубликован, и лицензия на него не предоставляется. Эта страница показывает только то, что можно проверить сегодня.
Уведомления о сторонних компонентах — компоненты, которые этот сайт распространяет, и полные тексты их лицензий: уведомления и тексты лицензий.
Да, для каждого доступного инструмента: у каждого есть типизированный манифест выполнения, декларирующий обработку в браузере, непокидание устройства вводом и отсутствие хранения. Метки на этой странице генерируются из этих манифестов. Любому будущему облачному или гибридному инструменту придётся раскрыть свои границы до выпуска.
Плохо спроектированная CSP сломала бы синхронизацию аккаунтов или одобренный аналитический прокси, поэтому контроль сначала строится под реальные маршруты согласно ADR 010. До этого эта страница честно раскрывает отдаваемые заголовки и возможные внешние соединения, а сетевые границы принудительны в коде и покрыты тестами.
Нет. PostHog работает без cookie с отключёнными автозахватом, записью сессий, хранением и профилями. Разрешённый список допускает очищенные просмотры страниц, шестнадцать именованных продуктовых событий, Web Vitals и исключения — никогда ввод, вывод, имена файлов или запросы — а события уходят только через first-party прокси-хост.
Они выводятся из реестра выполнения и каталога при сборке, а страница бенчмарков показывает измеренные запуски за своими данными. Если метка каталога и манифест выполнения разойдутся, расхождение будет напечатано здесь, а не усреднено.
Страница бенчмарков показывает данные, произведённые харнесом в реальном безголовом браузере, включая канареечные запуски, доказывающие, что ввод остаётся на устройстве.