Перейти к содержимому
Toolars
Каталог

04 / DATA BOUNDARY

Центр доверия

Каждый доступный инструмент Toolars указывает, где обрабатывается ввод. Прочитайте объяснение границ простым языком, а затем проверьте сами — проверенные сторонние хосты, выдаваемые заголовки безопасности и лежащие в основе проверки методы.

Числа выводятся из реестра выполнения при сборке — ни одно не написано вручную.

Простым языком

Входные данные и результаты остаются во вкладке, пока вы сами не отправите или не экспортируете их.

В браузере
Текст, изображения и файлы обрабатываются в активной вкладке.
Сервисы аккаунта
Вход и избранное могут синхронизироваться через Supabase. Входные и выходные данные инструментов исключены.
Границы устройства
Расширения браузера, вредоносные программы и скачанные файлы находятся вне этих границ защиты.
Подробнее

Внутри активной вкладки браузера

Доступные инструменты local-first преобразуют текст, код, изображения и документы средствами браузерных API и лениво загружаемого кода.

  • Активная память — Входные данные удерживаются в памяти страницы только для текущего взаимодействия.
  • Временные предпросмотры — Сгенерированные предпросмотры и object URL временны и освобождаются при сбросе или выгрузке пространства.
  • Явные скачивания — Скачивание происходит только после явного экспорта, а затем им управляют браузер и операционная система.

Данные, которые могут достигать сервисного слоя

Когда настроен Supabase, аутентификация, избранное, явная обратная связь и запросы инструментов используют узкие аккаунтовые контракты.

  • Аутентификация — Аутентификация хранит идентификаторы аккаунта и сессии, необходимые для поддержания входа.
  • Обратная связь — Обратная связь включает выбранный инструмент, тип отзыва, локализованный путь и текст, который вы намеренно отправляете.
  • Запросы инструментов — Запросы инструментов включают название, сценарий использования и необязательную HTTPS-ссылку, предоставленные вами.

Узнайте границу до начала работы

Заявление о локальной обработке не заменяет защиту устройства и аккуратное обращение со скачанными файлами.

  • Граница устройства — Браузерные расширения, вредоносное ПО, общие профили и резервные копии операционной системы остаются вне контроля Toolars.
  • Будущие обработчики — Планируемые облачные или гибридные инструменты обязаны раскрыть иную границу данных до того, как станут доступны.
  • Безопасность отправки — Не отправляйте секреты через формы поддержки, контактов, запросов инструментов или сообщений об ошибках.

Где обрабатывается ваш ввод

104Инструментов в каталоге
104Локально
0Облако
0Гибрид
Режим выполнения по категориям каталога

Эти счётчики вычисляются из каталога и контракта приватности выполнения при сборке сайта. При расхождении затронутые инструменты перечисляются здесь, а не скрываются.

Инструмент считается локальным, только если его манифест содержит processingLocation browser, inputLeavesDevice false и retention none — метка генерируется из контракта, а не из рекламного текста.

Режим выполнения по категориям каталога
КатегорияЛокальноОблакоГибрид
Текст700
Студия изображений1600
Дизайн1700
Разработка3100
Макеты для соцсетей1100
PDF-инструменты1000
Файлы и утилиты1200

Сторонние скрипты и внешние соединения

Намеренно короткий список. Рабочие области инструментов не загружают никаких сторонних скриптов; тяжёлые среды выполнения поставляются как одноисточные Web Worker, WASM и статические ресурсы. Ниже — всё, к чему может обращаться оболочка сайта.

Открыть список соединений
Сервис / хостТипНазначениеГраница данных
track.toolars.comАналитикаПринимает события продуктовой аналитики через управляемый first-party обратный прокси PostHog, отдаваемый через Cloudflare.Только события из разрешённого списка без cookie: очищенные просмотры страниц, девятнадцать именованных продуктовых событий, Web Vitals и исключения. Никогда — ввод, вывод, имена файлов или поисковые запросы. SDK лениво загружается только на продакшн-источнике.
us.posthog.comАналитикаИдентифицирует управляемое приложение PostHog для ссылок интерфейса и конфигурации.События не уходят на этот хост; сбор идёт через прокси-хост из строки выше.
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Бэкенд аккаунтовАутентификация, синхронизация избранного, подписка на рассылку и хранение обратной связи.Вызывается только при явных действиях: входе, подписке или отправке формы. Рабочие области никогда его не вызывают, а в браузерном бандле существует только публичный ключ.
avatars.githubusercontent.comИзображение профиляФотографии профилей аккаунтов, вошедших через GitHub.Загружаются через строгий список разрешений оптимизатора изображений и отображаются только в меню шапки после входа.
lh3.googleusercontent.comИзображение профиляФотографии профилей аккаунтов, вошедших через Google.Тот же строгий список изображений; до входа ничего не загружается.
buymeacoffee.comВнешняя ссылкаОпциональная ссылка поддержки автора в подвале.Обычная внешняя ссылка без встраивания и скриптов; она не получает данных об использовании вами инструментов.
chromewebstore.google.comВнешняя ссылкаСсылки на установку расширения и его страницу в магазине.Только внешний переход в новой вкладке; магазин видит обычный визит и никогда — содержимое рабочей области.
x.com / github.comВнешняя ссылкаСсылки на аккаунт Toolars в X и открытый репозиторий GitHub.Сайты открываются только при переходе по ссылке. Нет встроенных скриптов соцсетей или автоматических запросов к этим сайтам; ссылки не содержат входные или выходные данные инструментов.
fonts.googleapis.com / fonts.gstatic.comЗагрузка при сборкеЗагрузка файлов шрифта Barlow при сборке через next/font.Во время работы шрифты отдаются с собственных статических путей сайта; браузер не делает запросов к Google Fonts при использовании Toolars.
vercel.app (hosting platform)ИнфраструктураХостинговая платформа, отдающая каждый ответ Toolars.Видит метаданные запросов, которые видел бы любой хостинг (IP, заголовки); ввод и вывод инструментов через него не проходят.
cloudflare.com (DNS + proxy layer)ИнфраструктураDNS для toolars.com и прокси-слой за аналитическим хостом.Обрабатывает те же метаданные запросов, что и хостинговый слой; содержимое рабочих областей через него не течёт.

Инвентаризация проведена по развёрнутому исходному коду 2026-09-19: полнодеревный поиск внешних источников, список изображений в next.config.ts и аналитический контракт ADR 007.

Заголовки безопасности в точности как отдаются

Это заголовки ответов на каждой странице Toolars, прочитанные из тех же типизированных деклараций, которые формируют конфигурацию — таблица не может разойтись с тем, что отдаётся.

ЗаголовокЗначение
Strict-Transport-Securitymax-age=63072000; includeSubDomains
X-Content-Type-Optionsnosniff
Referrer-Policystrict-origin-when-cross-origin
X-Toolars-Releasea2f07a5231e271e8

Content-Security-Policy: намеренно не задан для всего сайта

Что это значит
Strict-Transport-Security
Браузер два года подключается к toolars.com только по HTTPS, включая поддомены.
X-Content-Type-Options
Браузер отказывается угадывать типы содержимого, блокируя распространённый приём скрытой загрузки.
Referrer-Policy
Полный referrer уходит только тому же источнику; при кросс-источниковых запросах раскрывается максимум базовый хост.
X-Toolars-Release
16-символьный отпечаток исходников этого развёртывания. Сравните его с release.revision в чеке верификации: совпадающие значения означают, что чек описывает ровно те байты, которые вам отдаются.

Toolars пока не отправляет заголовок Content-Security-Policy для всего сайта, и эта страница не будет делать вид, что он есть. CSP, блокирующий не тот источник, сломал бы синхронизацию аккаунтов или одобренный аналитический прокси, поэтому этот контроль сначала проектируется под реальные маршруты согласно ADR 010. Заголовки выше отдаются уже сегодня, и каждая сетевая граница на этой странице принудительна в коде и покрыта тестами. docs/adr/010-local-processing-evidence.md

Проверьте сами за 30 секунд

Кроме браузера ничего не нужно. Используйте безобидный синтетический файл или пример текста — никогда реальные чувствительные данные, и не публикуйте скриншоты или HAR, их содержащие.

  1. Загрузить пример
  2. Открыть панель Network
  3. Прогреть, очистить и повторить
Полная методика проверки
  1. Откройте любой инструмент Toolars и загрузите его пример или вставьте безобидный синтетический ввод.
  2. Откройте инструменты разработчика браузера и переключитесь на панель Сеть.
  3. Один раз запустите инструмент и дождитесь завершения, чтобы статические ресурсы прогрелись.
  4. Очистите список запросов, запустите инструмент ещё раз со вторым образцом и скройте собственные пути ресурсов сайта (/_next/static, /generated, /fonts, /ocr).
  5. Посчитайте запросы, которые несут ваш ввод. Ожидаемое число — ноль; точная граница указана в примечании о приватности на самой странице инструмента.

Измерения записаны скриптом scripts/capture-privacy-proof.mjs в реальном браузере на производственной сборке. Проверяются отправки файлов, междоменные запросы и утечки контрольного маркера. Дата записи и измеренный релиз указаны рядом с результатами.

Для более сильной проверки повторите запуск с отключённой сетью после прогрева: текстовые и графические инструменты продолжат работать; PDF-инструментам нужны уже виденные одноисточные ресурсы Worker — именно поэтому для них не заявляется офлайн-использование.

Результаты измерений

Записано 2026-09-27 · внутренняя проверка

Записано против ревизии 0d02cd2cc4ab3d28; эта страница теперь отдаёт a2f07a5231e271e8. Прежде чем считать эти цифры актуальным доказательством, повторите захват.

Конвертация изображенияОтправки файлов0Запросов к тому же источнику0Кросс-доменных запросов0Подробнее

Полная конвертация PNG → JPEG и скачивание с канареечным маркером внутри тестового файла: 0 запросов, 0 загрузок, 0 утечек канарейки в измеряемом окне.

Запросов в измеряемом окне: 0

Конвертация HEICОтправки файлов0Запросов к тому же источнику0Кросс-доменных запросов0Подробнее

Одна конвертация HEIC → JPEG со скачиванием: ленивый декодер libheif (~3,3 МБ) при первом использовании загружается только с путей этого сайта; повторная измеренная конвертация даёт 0 запросов, 0 загрузок, 0 утечек канарейки, а фото с канареечным именем не покидает устройство.

Запросов в измеряемом окне: 0

Ресурсы сайта при первом запуске
  • /generated/runtime/7879e1c92e1bdb08/libheif.js
  • /generated/runtime/e4aa8333fbe55ec7/libheif.wasm
  • /generated/runtime/6c728441042ea88c/heic-decode-worker.js
Распознавание OCRОтправки файлов0Запросов к тому же источнику3Кросс-доменных запросов0Подробнее

При первом использовании движок, воркер и выбранный языковой пакет (13 доступно, по 0,4–2 MB) загружаются только с собственных путей этого сайта; повторные распознавания на английском и упрощённом китайском дают по 3 запросов и 0 загрузок.

Запросов в измеряемом окне: 3

  • GET /generated/runtime/e4d26dedc913c87f/worker.min.js
  • GET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js
  • GET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz
Ресурсы сайта при первом запуске
  • /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js
  • /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz
  • /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz
  • /generated/runtime/e4d26dedc913c87f/worker.min.js
Поворот PDFОтправки файлов0Запросов к тому же источнику0Кросс-доменных запросов0Подробнее

Загрузка встроенного образца, его поворот и скачивание результата: 0 запросов, 0 загрузок, 0 утечек канарейки в измеряемом окне.

Запросов в измеряемом окне: 0

Открыть отчёт JSON

Результаты относятся только к записанным запускам. Это внутренние проверки, а не независимый аудит безопасности.

Как устроена локальная обработка

Локальность здесь — архитектура, а не лозунг. Три механизма удерживают данные во вкладке.

Web Workers для тяжёлых преобразований

Хеширование, вычисление регулярных выражений, сравнения, кодирование и потоковая обработка выполняются в выделенных Web Worker, собираемых из TypeScript скриптом scripts/build-tool-workers.mjs. Worker — одноисточный скрипт этого сайта, поэтому вкладка остаётся отзывчивой, пока в фоне обрабатываются мегабайты ввода.

WASM и нативные среды по требованию

Движок OCR (около 4 MB) и каждый языковой пакет 0,4–2 MB, а также PDF-рантайм загружаются с собственных статических путей этого сайта только после открытия инструмента. Распознавание и разбор выполняются локально; ничего не отправляется на обработку.

Ленивая загрузка по инструменту

Исполнительный бандл инструмента скачивается при открытии этого инструмента — никогда на страницах каталога или главной. Просмотр каталога передаёт только метаданные, что легко проверить в той же панели Сеть.

Как выполняются внутренние проверки

Одна из проверок ниже открыта: харнесс захвата privacy-доказательств выпущен под лицензией MIT по адресу https://github.com/aixtral/toolars-open, поэтому вы можете самостоятельно перезапустить его на опубликованном сайте. Остальные команды выполняются в закрытом репозитории с закреплёнными версиями Node и pnpm, а их методы изложены здесь.

Машиночитаемая квитанция проверки — команды, измерения и то, что она не доказывает: квитанция в формате JSON.

СкриптКомандаЧто проверяет
Харнес доказательства локальной обработкиscripts/verify-local-processing.mjscorepack pnpm verify:local-processingПересобирает сайт, блокирует сеть в новом контексте браузера, повторяет репрезентативные рабочие процессы с синтетическими канарейками и сравнивает отпечатки исходников и сборки в квитанции. Любая повторная попытка, пропуск или дрейф делают запуск провальным.
Аудит зависимостей открытого ядраscripts/audit-local-core.mjscorepack pnpm audit:local-coreСтроит граф исполнительных зависимостей кандидатов открытой поверхности и фиксирует SHA-256 хеши исходников, версии установленных зависимостей и тексты лицензий.
Сборка Workerscripts/build-tool-workers.mjscorepack pnpm worker:buildКомпилирует каждый браузерный Web Worker из его TypeScript-исходника в файл с хешем содержимого в public/generated, гарантируя, что отдаваемый Worker — ровно тот код, который прошёл ревью.
Бенчмарочный харнесscripts/benchmark-tools.mjsnode scripts/benchmark-tools.mjsИзмеряет максимально принимаемый ввод, медианное время выполнения и изоляцию сети с нулём утечек для каждого инструмента, затем записывает типизированные данные за страницей бенчмарков.
Харнесс захвата privacy-доказательствscripts/capture-privacy-proof.mjsnode scripts/capture-privacy-proof.mjsУправляет конвертацией изображения, OCR-движком и поворотом PDF в headless Chromium, записывая каждый запрос, включая обращения выделенных Web Worker, затем записывает JSON-доказательство, который рендерит эта страница. Падает при любом аплоаде, кросс-доменном запросе или утечке канарейки.
Смотреть измеренные лимиты и времена

Страница бенчмарков показывает данные, произведённые харнесом в реальном безголовом браузере, включая канареечные запуски, доказывающие, что ввод остаётся на устройстве.

Честные границы: что действительно требует сети

Локальность не означает отсутствия сети. Эти функции отправляют данные, потому что иначе не могут работать, и каждая точно указывает, что покидает устройство.

Синхронизация аккаунта и вход

При входе избранное и состояние аккаунта синхронизируются через Supabase Auth и Postgres с защитой на уровне строк. Ввод и вывод инструментов никогда не входят в эту синхронизацию — каждая рабочая область работает без входа.

Рассылка

Форма в подвале отправляет только введённый вами адрес электронной почты в RPC Supabase. Аналитические события о подписке никогда не содержат этот адрес, согласно разрешённому списку ADR 007.

Обратная связь, контакт и отчёты об ошибках

Эти формы отправляют написанный вами текст и метаданные формы через аутентифицированное серверное действие, и каждая форма указывает точный состав перед отправкой. Содержимое рабочей области никогда не прикрепляется.

Загрузка движка и модели OCR

При первом использовании инструмент OCR загружает около 4 MB файлов движка плюс языковой пакет 0,4–2 MB на каждый выбранный язык — всё с собственных путей /ocr этого сайта. Загрузки идут с того же источника; изображение и распознанный текст остаются во вкладке, а скачанные пакеты хранятся только в офлайн-кеше браузера.

Ресурсы PDF-Worker

Импорт и экспорт PDF перезапускают Worker PDF.js, который повторно запрашивает одноисточные статические ресурсы, уже виденные при прогреве. Именно поэтому для PDF-инструментов не заявляется полная офлайн-работа.

Внешние ссылки

Ссылки на расширения, поддержку и социальные сети ведут в Chrome Web Store, Buy Me a Coffee, X и GitHub. Это обычные внешние ссылки без встроенных сторонних скриптов.

Чего мы не заявляем

Мы не заявляем ни сторонних аудитов безопасности, ни сертификаций соответствия. Отдельно опубликованный харнесс захвата privacy-доказательств и два локальных Node-пакета выпущены под лицензией MIT; исходный код самого сайта не опубликован, и лицензия на него не предоставляется. Эта страница показывает только то, что можно проверить сегодня.

Уведомления о сторонних компонентах — компоненты, которые этот сайт распространяет, и полные тексты их лицензий: уведомления и тексты лицензий.

Текущая спецификация выполнения

Редакция спецификации: 2026-09-26.1

Локальная обработка выполняется в браузере. Загрузка страниц, worker или кодеков может требовать сети. Учётные записи и разрешённые события аналитики без cookie имеют отдельные границы сервиса.

Офлайн-контракт a2f07a5231e271e8 охватывает 49 инструментов после подготовки каждого в этом браузере. Кеш может быть удалён. Перезагрузка Workflow без сети не гарантируется; шагам PDF могут понадобиться статические ресурсы worker.

Загрузите операцию на несекретном примере, затем обработайте новый пример, наблюдая Fetch/XHR, WebSocket и worker. Перезагрузку без сети проверяйте отдельно. Запись трафика подтверждает только этот запуск и не является независимым аудитом безопасности.

Вопросы о локальной обработке

Действительно ли инструменты Toolars работают локально?

Да, для каждого доступного инструмента: у каждого есть типизированный манифест выполнения, декларирующий обработку в браузере, непокидание устройства вводом и отсутствие хранения. Метки на этой странице генерируются из этих манифестов. Любому будущему облачному или гибридному инструменту придётся раскрыть свои границы до выпуска.

Почему нет Content-Security-Policy?

Плохо спроектированная CSP сломала бы синхронизацию аккаунтов или одобренный аналитический прокси, поэтому контроль сначала строится под реальные маршруты согласно ADR 010. До этого эта страница честно раскрывает отдаваемые заголовки и возможные внешние соединения, а сетевые границы принудительны в коде и покрыты тестами.

Получает ли аналитика то, что я ввожу в инструмент?

Нет. PostHog работает без cookie с отключёнными автозахватом, записью сессий, хранением и профилями. Разрешённый список допускает очищенные просмотры страниц, девятнадцать именованных продуктовых событий, Web Vitals и исключения — никогда ввод, вывод, имена файлов или запросы — а события уходят только через first-party прокси-хост.

Насколько свежи числа на этой странице?

Они выводятся из реестра выполнения и каталога при сборке, а страница бенчмарков показывает измеренные запуски за своими данными. Если метка каталога и манифест выполнения разойдутся, расхождение будет напечатано здесь, а не усреднено.

Копать глубже

Смотреть измеренные лимиты и времена

Страница бенчмарков показывает данные, произведённые харнесом в реальном безголовом браузере, включая канареечные запуски, доказывающие, что ввод остаётся на устройстве.

Измеренные бенчмарки