04 / DATA BOUNDARY
Mỗi công cụ trong số 103 công cụ Toolars đang hoạt động có manifest runtime nêu nơi xử lý dữ liệu đầu vào. Trang này trình bày các manifest, kết nối bên ngoài có thể có, header bảo mật được phục vụ và mô tả các kiểm tra nội bộ.
Các con số được suy ra từ registry runtime khi build — không có con số nào được gõ tay.
Các số đếm này được tính từ danh mục và hợp đồng quyền riêng tư runtime khi trang web được build. Nếu hai bên không khớp, các công cụ bị ảnh hưởng sẽ được liệt kê ở đây thay vì bị giấu đi.
Một công cụ chỉ được tính là cục bộ khi manifest ghi processingLocation browser, inputLeavesDevice false và retention none — nhãn được tạo ra từ hợp đồng, không bao giờ từ văn bản quảng cáo.
| Danh mục | Cục bộ | Đám mây | Kết hợp |
|---|---|---|---|
| Viết | 7 | 0 | 0 |
| Studio hình ảnh | 16 | 0 | 0 |
| Thiết kế | 17 | 0 | 0 |
| Lập trình | 31 | 0 | 0 |
| Mockup mạng xã hội | 11 | 0 | 0 |
| Công cụ PDF | 10 | 0 | 0 |
| Tệp & Tiện ích | 11 | 0 | 0 |
Một danh sách cố tình ngắn. Không gian làm việc của công cụ không tải bất kỳ script bên thứ ba nào; các runtime nặng được phục vụ dưới dạng Web Worker cùng nguồn, WASM và tài nguyên tĩnh. Dưới đây là tất cả những gì vỏ trang web có thể chạm tới.
| Dịch vụ / máy chủ | Loại | Mục đích | Giới hạn dữ liệu |
|---|---|---|---|
track.toolars.com | Phân tích | Nhận các sự kiện phân tích production qua proxy đảo chiều first-party do PostHog vận hành, được phục vụ qua Cloudflare. | Chỉ các sự kiện trong danh sách cho phép không dùng cookie: lượt xem trang đã được làm sạch, mười sáu sự kiện sản phẩm có tên, Web Vitals và ngoại lệ. Không bao giờ chứa dữ liệu đầu vào, đầu ra, tên tệp hoặc truy vấn tìm kiếm. SDK chỉ tải chậm trên origin production. |
us.posthog.com | Phân tích | Xác định ứng dụng PostHog được quản lý cho các liên kết giao diện và cấu hình. | Các sự kiện không chảy tới máy chủ này; việc thu thập đi qua máy chủ proxy ở hàng trên. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Hạ tầng tài khoản | Xác thực, đồng bộ yêu thích, đăng ký newsletter và lưu trữ phản hồi. | Chỉ kết nối khi bạn thực hiện hành động rõ ràng: đăng nhập, đăng ký hoặc gửi biểu mẫu. Không gian làm việc không bao giờ gọi nó, và chỉ có publishable key trong gói trình duyệt. |
avatars.githubusercontent.com | Ảnh hồ sơ | Ảnh hồ sơ cho tài khoản đăng nhập bằng GitHub. | Được tải qua danh sách cho phép nghiêm ngặt của trình tối ưu ảnh và chỉ hiển thị trong menu đầu trang khi đã đăng nhập. |
lh3.googleusercontent.com | Ảnh hồ sơ | Ảnh hồ sơ cho tài khoản đăng nhập bằng Google. | Cùng danh sách ảnh nghiêm ngặt; không có gì được tải trước khi bạn đăng nhập. |
buymeacoffee.com | Liên kết ra ngoài | Liên kết ủng hộ người tạo tùy chọn ở chân trang. | Một liên kết ra ngoài thông thường không nhúng và không script; nó không nhận dữ liệu nào về việc bạn dùng công cụ. |
chromewebstore.google.com | Liên kết ra ngoài | Liên kết cài tiện ích và danh sách cửa hàng. | Chỉ thoát ra ngoài trong tab mới; cửa hàng chỉ thấy một lượt truy cập bình thường, không bao giờ thấy nội dung không gian làm việc. |
fonts.googleapis.com / fonts.gstatic.com | Tải về lúc build | Tải về các tệp font Barlow tại thời điểm build qua next/font. | Khi chạy, font được phục vụ từ các đường dẫn tĩnh của chính trang web; trình duyệt của bạn không gửi yêu cầu nào tới Google Fonts khi dùng Toolars. |
vercel.app (hosting platform) | Hạ tầng | Nền tảng lưu trữ phục vụ mọi phản hồi của Toolars. | Chỉ thấy siêu dữ liệu yêu cầu mà mọi máy chủ lưu trữ đều thấy (IP, header); dữ liệu đầu vào và đầu ra của công cụ không đi qua nó. |
cloudflare.com (DNS + proxy layer) | Hạ tầng | DNS cho toolars.com và lớp proxy phía sau máy chủ phân tích. | Xử lý cùng siêu dữ liệu yêu cầu như lớp lưu trữ; nội dung không gian làm việc không chảy qua. |
Danh sách được kiểm toán từ mã nguồn đã triển khai ngày 2026-09-19: tìm kiếm nguồn bên ngoài trong toàn bộ cây thư mục, danh sách ảnh trong next.config.ts và hợp đồng phân tích trong ADR 007.
Đây là các header phản hồi trên mọi trang Toolars, được đọc từ cùng các tuyên bố có kiểu dữ liệu tạo ra cấu hình — bảng này không thể lệch khỏi những gì được phục vụ.
| Header | Giá trị | Ý nghĩa |
|---|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains | Trình duyệt chỉ kết nối tới toolars.com qua HTTPS trong hai năm tới, bao gồm cả tên miền con. |
X-Content-Type-Options | nosniff | Trình duyệt từ chối đoán kiểu nội dung, chặn một thủ đoạn tải xuống lén lút phổ biến. |
Referrer-Policy | strict-origin-when-cross-origin | Referrer đầy đủ chỉ được gửi về cùng nguồn; yêu cầu liên nguồn lộ nhiều nhất là tên máy chủ cơ bản. |
Toolars hiện chưa gửi header Content-Security-Policy cho toàn trang, và trang này sẽ không giả vờ khác đi. Một CSP chặn sai nguồn sẽ làm hỏng đồng bộ tài khoản hoặc proxy phân tích đã được duyệt, nên biện pháp kiểm soát đang được thiết kế trước với các route thật theo ADR 010. Các header ở trên đã được phục vụ ngày hôm nay, và mọi giới hạn mạng trong trang này được thực thi trong mã nguồn và có kiểm thử bao phủ. docs/adr/010-local-processing-evidence.md
Không cần gì ngoài trình duyệt bạn đang có. Hãy dùng một tệp tổng hợp vô hại hoặc văn bản mẫu — không bao giờ dùng dữ liệu nhạy cảm thật, và đừng công khai ảnh chụp hay HAR chứa dữ liệu đó.
Chúng tôi đã tự chạy quy trình tương tự thay bạn. Mỗi thẻ bên dưới do scripts/capture-privacy-proof.mjs tạo ra bằng cách điều khiển trình duyệt headless thật trên bản production. Số yêu cầu đo được được commit dưới dạng dữ liệu có kiểu, và script sẽ báo lỗi ngay khi xuất hiện tải lên, yêu cầu cross-origin hoặc rò rỉ canary.
Một lượt chuyển PNG → JPEG đầy đủ kèm tải xuống, với dấu canary giấu trong tệp thử nghiệm: 0 yêu cầu, 0 lượt tải lên, 0 lần rò rỉ canary trong cửa sổ đo.
Một lần chuyển đổi HEIC → JPEG kèm tải xuống: bộ giải mã libheif (~3,3 MB) chỉ tải từ các đường dẫn của chính trang web này khi dùng lần đầu; lần chuyển đổi lặp được đo tạo ra 0 yêu cầu, 0 lượt tải lên, 0 rò rỉ canary, và ảnh mang tên canary không bao giờ rờ khỏi thiết bị.
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsLần đầu sử dụng, engine, worker và gói ngôn ngữ đã chọn (13 gói, mỗi gói 0,4–2 MB) chỉ tải từ đường dẫn của chính trang này (/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js · /generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz · /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz · /generated/runtime/e4d26dedc913c87f/worker.min.js); các lần nhận dạng lặp lại bằng tiếng Anh và tiếng Trung giản thể tạo 3 yêu cầu và 0 lượt tải lên.
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gzTải mẫu có sẵn, xoay và tải xuống kết quả: 0 yêu cầu, 0 lượt tải lên, 0 lần rò rỉ canary trong cửa sổ đo.
Đăng nhập chỉ đồng bộ mục yêu thích (chỉ tên công cụ) và trạng thái tài khoản qua Supabase với bảo mật cấp hàng. Không gian làm việc của công cụ không bao giờ gọi backend tài khoản: xử lý không cần tài khoản và không gửi gì đến đó.
Danh sách trên được tạo từ tìm kiếm toàn bộ cây mã nguồn đã triển khai. Không host nào trong số này có thể truy cập từ không gian làm việc: chúng không tải script nào ở đó và không nhận dữ liệu công cụ nào.
track.toolars.comPhân tíchus.posthog.comPhân tíchproject ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL)Hạ tầng tài khoảnavatars.githubusercontent.comẢnh hồ sơlh3.googleusercontent.comẢnh hồ sơbuymeacoffee.comLiên kết ra ngoàichromewebstore.google.comLiên kết ra ngoàifonts.googleapis.com / fonts.gstatic.comTải về lúc buildvercel.app (hosting platform)Hạ tầngcloudflare.com (DNS + proxy layer)Hạ tầngĐể kiểm tra mạnh hơn, lặp lại lượt chạy với mạng đã tắt sau khi làm nóng: công cụ văn bản và ảnh vẫn hoạt động; công cụ PDF cần các tài nguyên worker cùng nguồn đã thấy, và đó là lý do chúng tôi không khẳng định khả năng dùng ngoại tuyến cho chúng.
Cục bộ-ưu tiên ở đây là kiến trúc, không phải khẩu hiệu. Ba cơ chế giữ dữ liệu của bạn trong tab.
Băm, đánh giá biểu thức chính quy, diff, mã hóa và streaming chạy trong các Web Worker riêng được biên dịch từ TypeScript bởi scripts/build-tool-workers.mjs. Worker là script cùng nguồn từ chính trang web này, nên tab vẫn phản hồi trong khi dữ liệu đầu vào hàng megabyte chạy nền.
Engine OCR (khoảng 4 MB) và mỗi gói ngôn ngữ 0,4–2 MB, cùng với runtime PDF, chỉ tải từ đường dẫn tĩnh của chính trang này sau khi bạn mở công cụ. Nhận dạng và phân tích chạy cục bộ; không có gì được tải lên để xử lý.
Gói thực thi của một công cụ chỉ tải xuống khi bạn mở công cụ đó — không bao giờ trên trang danh mục hay trang chủ. Duyệt danh mục chỉ truyền siêu dữ liệu, điều dễ xác nhận trong cùng bảng Mạng.
Một trong những kiểm tra bên dưới hiện đã công khai: harness ghi bằng chứng quyền riêng tư được phát hành theo giấy phép MIT tại https://github.com/aixtral/toolars-open, nên bạn có thể tự chạy lại nó trên trang web đã xuất bản. Các lệnh còn lại chạy trong kho mã riêng tư với phiên bản Node và pnpm đã ghim, và phương pháp của chúng được tóm tắt ở đây.
Biên nhận xác minh dạng máy đọc được — các lệnh, số đo và những gì nó không chứng minh: biên nhận JSON.
| Script | Lệnh | Nội dung kiểm chứng |
|---|---|---|
Harness chứng cứ xử lý cục bộscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Build lại trang web, chặn mạng trong một ngữ cảnh trình duyệt mới, chạy lại các quy trình đại diện với chuỗi canary tổng hợp, và đối chiếu dấu vân tay mã nguồn cùng bản dựng thành một biên nhận. Bất kỳ lần thử lại, trường hợp bỏ qua hay độ lệch nào cũng làm lượt chạy thất bại. |
Kiểm toán phụ thuộc lõi mởscripts/audit-local-core.mjs | corepack pnpm audit:local-core | Vẽ đồ thị phụ thuộc thực thi của các ứng viên bề mặt mở và ghi lại hash SHA-256 của mã nguồn, phiên bản phụ thuộc đã cài và văn bản giấy phép. |
Build workerscripts/build-tool-workers.mjs | corepack pnpm worker:build | Biên dịch mỗi Web Worker của trình duyệt từ mã nguồn TypeScript thành tệp có hash nội dung trong public/generated, đảm bảo worker được phục vụ đúng là mã nguồn đã được rà soát. |
Harness đo chuẩnscripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Đo đầu vào lớn nhất được chấp nhận, thời gian chạy trung vị và cách ly mạng không rò rỉ cho từng công cụ, rồi ghi dữ liệu có kiểu phía sau trang đo chuẩn. |
Harness ghi bằng chứng quyền riêng tưscripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Điều khiển một lượt chuyển đổi ảnh, engine OCR và một lượt xoay PDF trong Chromium headless đồng thời ghi lại mọi yêu cầu, bao gồm cả các yêu cầu từ Web Worker riêng, rồi ghi ra JSON bằng chứng mà trang này hiển thị. Thất bại nếu có tải lên, yêu cầu cross-origin hoặc rò rỉ canary. |
Trang đo chuẩn hiển thị dữ liệu do harness tạo ra trong trình duyệt không đầu thật, bao gồm cả các lượt chạy canary chứng minh dữ liệu đầu vào ở lại thiết bị.
Cục bộ-ưu tiên không có nghĩa là không cần mạng. Các tính năng này gửi dữ liệu vì không thể hoạt động khác đi, và mỗi tính năng nói rõ thứ gì rồi khỏi thiết bị.
Đăng nhập đồng bộ yêu thích và trạng thái tài khoản qua Supabase Auth và Postgres với bảo mật cấp hàng. Dữ liệu đầu vào và đầu ra của công cụ không bao giờ nằm trong đợt đồng bộ đó — mọi không gian làm việc đều chạy khi chưa đăng nhập.
Biểu mẫu ở chân trang chỉ gửi địa chỉ email bạn nhập tới một RPC của Supabase. Các sự kiện phân tích về việc đăng ký không bao giờ mang theo địa chỉ đó, theo danh sách cho phép của ADR 007.
Các biểu mẫu này gửi văn bản bạn viết cùng siêu dữ liệu biểu mẫu qua một server action đã xác thực, và mỗi biểu mẫu nêu rõ phần dữ liệu chính xác trước khi gửi. Nội dung không gian làm việc không bao giờ được đính kèm.
Lần đầu sử dụng, công cụ OCR tải khoảng 4 MB tệp engine cộng thêm gói ngôn ngữ 0,4–2 MB cho mỗi ngôn ngữ đã chọn, tất cả từ đường dẫn /ocr của chính trang này. Các lượt tải đều từ cùng nguồn; ảnh và văn bản đã nhận dạng ở lại trong tab, và các gói đã tải chỉ lưu trong bộ nhớ đệm ngoại tuyến của trình duyệt.
Nhập và xuất PDF khởi động lại worker PDF.js, worker này tải lại các tài nguyên tĩnh cùng nguồn đã thấy khi làm nóng. Đó là lý do chúng tôi không khẳng định khả năng dùng ngoại tuyến đầy đủ cho các công cụ PDF.
Các liên kết cài tiện ích dẫn tới Chrome Web Store, và nút ủng hộ tùy chọn dẫn tới Buy Me a Coffee. Cả hai đều là liên kết ra ngoài thông thường; không cái nào nhúng script bên thứ ba vào các trang Toolars.
Không có kiểm toán bảo mật bên thứ ba và không có chứng nhận tuân thủ. Harness ghi bằng chứng quyền riêng tư được phát hành riêng và hai gói Node cục bộ đều theo giấy phép MIT; mã nguồn của chính trang web không được phát hành và không có giấy phép nào được cấp cho nó. Trang này chỉ cho thấy những gì có thể kiểm chứng ngày hôm nay.
Thông báo về bên thứ ba — các thành phần mà trang web này phân phối lại và toàn văn giấy phép của chúng: thông báo và văn bản giấy phép.
Có, với mọi công cụ đang mở: mỗi công cụ có một manifest runtime có kiểu dữ liệu tuyên bố xử lý trong trình duyệt, đầu vào không rồi khỏi thiết bị và không lưu giữ. Các nhãn trên trang này được tạo từ những manifest đó. Mọi công cụ đám mây hoặc kết hợp trong tương lai phải công khai giới hạn của mình trước khi ra mắt.
Một CSP thiết kế kém sẽ làm hỏng đồng bộ tài khoản hoặc proxy phân tích đã được duyệt, nên biện pháp kiểm soát được xây trước với các route thật theo ADR 010. Trong lúc đó, trang này công khai thành thật các header đang được phục vụ và các kết nối bên ngoài có thể có, và các giới hạn mạng được thực thi trong mã nguồn cùng kiểm thử bao phủ.
Không. PostHog chạy không cookie với autocapture, ghi phiên, lưu trữ bền và hồ sơ người dùng đều tắt. Danh sách cho phép chỉ gồm lượt xem trang đã làm sạch, mười sáu sự kiện sản phẩm có tên, Web Vitals và ngoại lệ — không bao giờ là đầu vào, đầu ra, tên tệp hay truy vấn — và các sự kiện chỉ rồi khỏi máy chủ proxy first-party.
Chúng được suy ra từ registry runtime và danh mục tại thời điểm build, và trang đo chuẩn hiển thị các lượt chạy đã đo phía sau dữ liệu của nó. Nếu một nhãn danh mục và một manifest runtime không khớp, sự không khớp được in ra trang này thay vì bị lấy trung bình.
Trang đo chuẩn hiển thị dữ liệu do harness tạo ra trong trình duyệt không đầu thật, bao gồm cả các lượt chạy canary chứng minh dữ liệu đầu vào ở lại thiết bị.