04 / DATA BOUNDARY
Mỗi công cụ Toolars đang hoạt động đều nêu nơi xử lý dữ liệu đầu vào. Đọc giải thích bằng ngôn ngữ đời thường về ranh giới, rồi tự kiểm chứng — các host bên thứ ba đã được kiểm tra, header bảo mật được phục vụ và các kiểm tra đằng sau chúng.
Các con số được suy ra từ registry runtime khi build — không có con số nào được gõ tay.
Dữ liệu nhập và kết quả công cụ ở lại tab đang mở trừ khi bạn chủ động gửi hay xuất thứ gì đó.
Công cụ local-first khả dụng biến đổi văn bản, mã, hình ảnh và tài liệu bằng API trình duyệt và mã tải lazy.
Xác thực, yêu thích, phản hồi tường minh và yêu cầu công cụ dùng hợp đồng tài khoản hẹp khi Supabase được cấu hình.
Tuyên bố xử lý cục bộ không thay thế bảo mật thiết bị hay xử lý cẩn thận tệp đã tải xuống.
Các số đếm này được tính từ danh mục và hợp đồng quyền riêng tư runtime khi trang web được build. Nếu hai bên không khớp, các công cụ bị ảnh hưởng sẽ được liệt kê ở đây thay vì bị giấu đi.
Một công cụ chỉ được tính là cục bộ khi manifest ghi processingLocation browser, inputLeavesDevice false và retention none — nhãn được tạo ra từ hợp đồng, không bao giờ từ văn bản quảng cáo.
| Danh mục | Cục bộ | Đám mây | Kết hợp |
|---|---|---|---|
| Viết | 7 | 0 | 0 |
| Studio hình ảnh | 16 | 0 | 0 |
| Thiết kế | 17 | 0 | 0 |
| Lập trình | 31 | 0 | 0 |
| Mockup mạng xã hội | 11 | 0 | 0 |
| Công cụ PDF | 10 | 0 | 0 |
| Tệp & Tiện ích | 12 | 0 | 0 |
Một danh sách cố tình ngắn. Không gian làm việc của công cụ không tải bất kỳ script bên thứ ba nào; các runtime nặng được phục vụ dưới dạng Web Worker cùng nguồn, WASM và tài nguyên tĩnh. Dưới đây là tất cả những gì vỏ trang web có thể chạm tới.
| Dịch vụ / máy chủ | Loại | Mục đích | Giới hạn dữ liệu |
|---|---|---|---|
track.toolars.com | Phân tích | Nhận các sự kiện phân tích production qua proxy đảo chiều first-party do PostHog vận hành, được phục vụ qua Cloudflare. | Chỉ các sự kiện trong danh sách cho phép không dùng cookie: lượt xem trang đã được làm sạch, mười chín sự kiện sản phẩm có tên, Web Vitals và ngoại lệ. Không bao giờ chứa dữ liệu đầu vào, đầu ra, tên tệp hoặc truy vấn tìm kiếm. SDK chỉ tải chậm trên origin production. |
us.posthog.com | Phân tích | Xác định ứng dụng PostHog được quản lý cho các liên kết giao diện và cấu hình. | Các sự kiện không chảy tới máy chủ này; việc thu thập đi qua máy chủ proxy ở hàng trên. |
project ref .supabase.co (NEXT_PUBLIC_SUPABASE_URL) | Hạ tầng tài khoản | Xác thực, đồng bộ yêu thích, đăng ký newsletter và lưu trữ phản hồi. | Chỉ kết nối khi bạn thực hiện hành động rõ ràng: đăng nhập, đăng ký hoặc gửi biểu mẫu. Không gian làm việc không bao giờ gọi nó, và chỉ có publishable key trong gói trình duyệt. |
avatars.githubusercontent.com | Ảnh hồ sơ | Ảnh hồ sơ cho tài khoản đăng nhập bằng GitHub. | Được tải qua danh sách cho phép nghiêm ngặt của trình tối ưu ảnh và chỉ hiển thị trong menu đầu trang khi đã đăng nhập. |
lh3.googleusercontent.com | Ảnh hồ sơ | Ảnh hồ sơ cho tài khoản đăng nhập bằng Google. | Cùng danh sách ảnh nghiêm ngặt; không có gì được tải trước khi bạn đăng nhập. |
buymeacoffee.com | Liên kết ra ngoài | Liên kết ủng hộ người tạo tùy chọn ở chân trang. | Một liên kết ra ngoài thông thường không nhúng và không script; nó không nhận dữ liệu nào về việc bạn dùng công cụ. |
chromewebstore.google.com | Liên kết ra ngoài | Liên kết cài tiện ích và danh sách cửa hàng. | Chỉ thoát ra ngoài trong tab mới; cửa hàng chỉ thấy một lượt truy cập bình thường, không bao giờ thấy nội dung không gian làm việc. |
x.com / github.com | Liên kết ra ngoài | Liên kết đến tài khoản X và kho mã GitHub công khai của Toolars. | Chỉ mở khi bạn nhấp vào liên kết. Không nhúng mã mạng xã hội hoặc tự động gửi yêu cầu đến các trang này; liên kết không kèm dữ liệu đầu vào hay đầu ra của công cụ. |
fonts.googleapis.com / fonts.gstatic.com | Tải về lúc build | Tải về các tệp font Barlow tại thời điểm build qua next/font. | Khi chạy, font được phục vụ từ các đường dẫn tĩnh của chính trang web; trình duyệt của bạn không gửi yêu cầu nào tới Google Fonts khi dùng Toolars. |
vercel.app (hosting platform) | Hạ tầng | Nền tảng lưu trữ phục vụ mọi phản hồi của Toolars. | Chỉ thấy siêu dữ liệu yêu cầu mà mọi máy chủ lưu trữ đều thấy (IP, header); dữ liệu đầu vào và đầu ra của công cụ không đi qua nó. |
cloudflare.com (DNS + proxy layer) | Hạ tầng | DNS cho toolars.com và lớp proxy phía sau máy chủ phân tích. | Xử lý cùng siêu dữ liệu yêu cầu như lớp lưu trữ; nội dung không gian làm việc không chảy qua. |
Danh sách được kiểm toán từ mã nguồn đã triển khai ngày 2026-09-19: tìm kiếm nguồn bên ngoài trong toàn bộ cây thư mục, danh sách ảnh trong next.config.ts và hợp đồng phân tích trong ADR 007.
Đây là các header phản hồi trên mọi trang Toolars, được đọc từ cùng các tuyên bố có kiểu dữ liệu tạo ra cấu hình — bảng này không thể lệch khỏi những gì được phục vụ.
| Header | Giá trị |
|---|---|
Strict-Transport-Security | max-age=63072000; includeSubDomains |
X-Content-Type-Options | nosniff |
Referrer-Policy | strict-origin-when-cross-origin |
X-Toolars-Release | a2f07a5231e271e8 |
Content-Security-Policy: cố tình chưa đặt cho toàn trang
Strict-Transport-SecurityX-Content-Type-OptionsReferrer-PolicyX-Toolars-ReleaseToolars hiện chưa gửi header Content-Security-Policy cho toàn trang, và trang này sẽ không giả vờ khác đi. Một CSP chặn sai nguồn sẽ làm hỏng đồng bộ tài khoản hoặc proxy phân tích đã được duyệt, nên biện pháp kiểm soát đang được thiết kế trước với các route thật theo ADR 010. Các header ở trên đã được phục vụ ngày hôm nay, và mọi giới hạn mạng trong trang này được thực thi trong mã nguồn và có kiểm thử bao phủ. docs/adr/010-local-processing-evidence.md
Không cần gì ngoài trình duyệt bạn đang có. Hãy dùng một tệp tổng hợp vô hại hoặc văn bản mẫu — không bao giờ dùng dữ liệu nhạy cảm thật, và đừng công khai ảnh chụp hay HAR chứa dữ liệu đó.
Các phép đo được scripts/capture-privacy-proof.mjs ghi lại bằng trình duyệt thật trên bản dựng production. Bộ kiểm tra phát hiện tải tệp lên, yêu cầu khác nguồn và rò rỉ dấu canary. Ngày ghi nhận và phiên bản được đo hiển thị cùng kết quả.
Để kiểm tra mạnh hơn, lặp lại lượt chạy với mạng đã tắt sau khi làm nóng: công cụ văn bản và ảnh vẫn hoạt động; công cụ PDF cần các tài nguyên worker cùng nguồn đã thấy, và đó là lý do chúng tôi không khẳng định khả năng dùng ngoại tuyến cho chúng.
Ghi lại 2026-09-27 · xác minh nội bộ
Ghi lại ở bản ghi 0d02cd2cc4ab3d28; trang này hiện phục vụ a2f07a5231e271e8. Chạy lại quy trình ghi lại trước khi đọc các con số này làm bằng chứng hiện hành.
Một lượt chuyển PNG → JPEG đầy đủ kèm tải xuống, với dấu canary giấu trong tệp thử nghiệm: 0 yêu cầu, 0 lượt tải lên, 0 lần rò rỉ canary trong cửa sổ đo.
Yêu cầu trong cửa sổ đo: 0
Một lần chuyển đổi HEIC → JPEG kèm tải xuống: bộ giải mã libheif (~3,3 MB) chỉ tải từ các đường dẫn của chính trang web này khi dùng lần đầu; lần chuyển đổi lặp được đo tạo ra 0 yêu cầu, 0 lượt tải lên, 0 rò rỉ canary, và ảnh mang tên canary không bao giờ rờ khỏi thiết bị.
Yêu cầu trong cửa sổ đo: 0
/generated/runtime/7879e1c92e1bdb08/libheif.js/generated/runtime/e4aa8333fbe55ec7/libheif.wasm/generated/runtime/6c728441042ea88c/heic-decode-worker.jsLần đầu sử dụng, engine, worker và gói ngôn ngữ đã chọn (13 gói, mỗi gói 0,4–2 MB) chỉ tải từ đường dẫn của chính trang này; các lần nhận dạng lặp lại bằng tiếng Anh và tiếng Trung giản thể tạo 3 yêu cầu và 0 lượt tải lên.
Yêu cầu trong cửa sổ đo: 3
GET /generated/runtime/e4d26dedc913c87f/worker.min.jsGET /generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.jsGET /generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz/generated/runtime/775a35df6f2ae100/tesseract-core-lstm.wasm.js/generated/runtime/89456b34c2769c9a/chi_sim.traineddata.gz/generated/runtime/d8438d6a4fba7bc3/eng.traineddata.gz/generated/runtime/e4d26dedc913c87f/worker.min.jsTải mẫu có sẵn, xoay và tải xuống kết quả: 0 yêu cầu, 0 lượt tải lên, 0 lần rò rỉ canary trong cửa sổ đo.
Yêu cầu trong cửa sổ đo: 0
Kết quả chỉ áp dụng cho các lần chạy đã ghi nhận. Đây là kiểm tra nội bộ, không phải kiểm toán bảo mật độc lập.
Cục bộ-ưu tiên ở đây là kiến trúc, không phải khẩu hiệu. Ba cơ chế giữ dữ liệu của bạn trong tab.
Băm, đánh giá biểu thức chính quy, diff, mã hóa và streaming chạy trong các Web Worker riêng được biên dịch từ TypeScript bởi scripts/build-tool-workers.mjs. Worker là script cùng nguồn từ chính trang web này, nên tab vẫn phản hồi trong khi dữ liệu đầu vào hàng megabyte chạy nền.
Engine OCR (khoảng 4 MB) và mỗi gói ngôn ngữ 0,4–2 MB, cùng với runtime PDF, chỉ tải từ đường dẫn tĩnh của chính trang này sau khi bạn mở công cụ. Nhận dạng và phân tích chạy cục bộ; không có gì được tải lên để xử lý.
Gói thực thi của một công cụ chỉ tải xuống khi bạn mở công cụ đó — không bao giờ trên trang danh mục hay trang chủ. Duyệt danh mục chỉ truyền siêu dữ liệu, điều dễ xác nhận trong cùng bảng Mạng.
Một trong những kiểm tra bên dưới hiện đã công khai: harness ghi bằng chứng quyền riêng tư được phát hành theo giấy phép MIT tại https://github.com/aixtral/toolars-open, nên bạn có thể tự chạy lại nó trên trang web đã xuất bản. Các lệnh còn lại chạy trong kho mã riêng tư với phiên bản Node và pnpm đã ghim, và phương pháp của chúng được tóm tắt ở đây.
Biên nhận xác minh dạng máy đọc được — các lệnh, số đo và những gì nó không chứng minh: biên nhận JSON.
| Script | Lệnh | Nội dung kiểm chứng |
|---|---|---|
Harness chứng cứ xử lý cục bộscripts/verify-local-processing.mjs | corepack pnpm verify:local-processing | Build lại trang web, chặn mạng trong một ngữ cảnh trình duyệt mới, chạy lại các quy trình đại diện với chuỗi canary tổng hợp, và đối chiếu dấu vân tay mã nguồn cùng bản dựng thành một biên nhận. Bất kỳ lần thử lại, trường hợp bỏ qua hay độ lệch nào cũng làm lượt chạy thất bại. |
Kiểm toán phụ thuộc lõi mởscripts/audit-local-core.mjs | corepack pnpm audit:local-core | Vẽ đồ thị phụ thuộc thực thi của các ứng viên bề mặt mở và ghi lại hash SHA-256 của mã nguồn, phiên bản phụ thuộc đã cài và văn bản giấy phép. |
Build workerscripts/build-tool-workers.mjs | corepack pnpm worker:build | Biên dịch mỗi Web Worker của trình duyệt từ mã nguồn TypeScript thành tệp có hash nội dung trong public/generated, đảm bảo worker được phục vụ đúng là mã nguồn đã được rà soát. |
Harness đo chuẩnscripts/benchmark-tools.mjs | node scripts/benchmark-tools.mjs | Đo đầu vào lớn nhất được chấp nhận, thời gian chạy trung vị và cách ly mạng không rò rỉ cho từng công cụ, rồi ghi dữ liệu có kiểu phía sau trang đo chuẩn. |
Harness ghi bằng chứng quyền riêng tưscripts/capture-privacy-proof.mjs | node scripts/capture-privacy-proof.mjs | Điều khiển một lượt chuyển đổi ảnh, engine OCR và một lượt xoay PDF trong Chromium headless đồng thời ghi lại mọi yêu cầu, bao gồm cả các yêu cầu từ Web Worker riêng, rồi ghi ra JSON bằng chứng mà trang này hiển thị. Thất bại nếu có tải lên, yêu cầu cross-origin hoặc rò rỉ canary. |
Trang đo chuẩn hiển thị dữ liệu do harness tạo ra trong trình duyệt không đầu thật, bao gồm cả các lượt chạy canary chứng minh dữ liệu đầu vào ở lại thiết bị.
Cục bộ-ưu tiên không có nghĩa là không cần mạng. Các tính năng này gửi dữ liệu vì không thể hoạt động khác đi, và mỗi tính năng nói rõ thứ gì rồi khỏi thiết bị.
Đăng nhập đồng bộ yêu thích và trạng thái tài khoản qua Supabase Auth và Postgres với bảo mật cấp hàng. Dữ liệu đầu vào và đầu ra của công cụ không bao giờ nằm trong đợt đồng bộ đó — mọi không gian làm việc đều chạy khi chưa đăng nhập.
Biểu mẫu ở chân trang chỉ gửi địa chỉ email bạn nhập tới một RPC của Supabase. Các sự kiện phân tích về việc đăng ký không bao giờ mang theo địa chỉ đó, theo danh sách cho phép của ADR 007.
Các biểu mẫu này gửi văn bản bạn viết cùng siêu dữ liệu biểu mẫu qua một server action đã xác thực, và mỗi biểu mẫu nêu rõ phần dữ liệu chính xác trước khi gửi. Nội dung không gian làm việc không bao giờ được đính kèm.
Lần đầu sử dụng, công cụ OCR tải khoảng 4 MB tệp engine cộng thêm gói ngôn ngữ 0,4–2 MB cho mỗi ngôn ngữ đã chọn, tất cả từ đường dẫn /ocr của chính trang này. Các lượt tải đều từ cùng nguồn; ảnh và văn bản đã nhận dạng ở lại trong tab, và các gói đã tải chỉ lưu trong bộ nhớ đệm ngoại tuyến của trình duyệt.
Nhập và xuất PDF khởi động lại worker PDF.js, worker này tải lại các tài nguyên tĩnh cùng nguồn đã thấy khi làm nóng. Đó là lý do chúng tôi không khẳng định khả năng dùng ngoại tuyến đầy đủ cho các công cụ PDF.
Các liên kết tiện ích, ủng hộ và mạng xã hội dẫn đến Chrome Web Store, Buy Me a Coffee, X và GitHub. Đây là các liên kết ngoài thông thường, không nhúng mã của bên thứ ba.
Không có kiểm toán bảo mật bên thứ ba và không có chứng nhận tuân thủ. Harness ghi bằng chứng quyền riêng tư được phát hành riêng và hai gói Node cục bộ đều theo giấy phép MIT; mã nguồn của chính trang web không được phát hành và không có giấy phép nào được cấp cho nó. Trang này chỉ cho thấy những gì có thể kiểm chứng ngày hôm nay.
Thông báo về bên thứ ba — các thành phần mà trang web này phân phối lại và toàn văn giấy phép của chúng: thông báo và văn bản giấy phép.
Bản sửa đổi mô tả hợp đồng: 2026-09-26.1
Xử lý cục bộ nghĩa là dữ liệu đầu vào của không gian làm việc được xử lý ngay trong trình duyệt. Việc tải trang, worker hoặc codec vẫn có thể cần yêu cầu mạng. Các thao tác trên tài khoản và phần phân tích không cookie trong danh sách cho phép có ranh giới dịch vụ riêng.
Hợp đồng ngoại tuyến a2f07a5231e271e8 bao phủ 49 công cụ sau khi từng công cụ đã được chuẩn bị trên trình duyệt đó. Tài nguyên đã lưu cache có thể bị loại bỏ. Việc tải lại Workflow khi ngoại tuyến không được đảm bảo; các bước PDF vẫn có thể cần tài nguyên worker tĩnh.
Để kiểm tra một tuyên bố cục bộ, hãy tải thao tác cần thiết với một mẫu không nhạy cảm, rồi quan sát lưu lượng Fetch/XHR, WebSocket và worker trong khi xử lý một mẫu mới. Kiểm tra việc tải lại khi ngoại tuyến theo cách riêng. Một bản ghi mạng sạch chỉ nói lên lần chạy đó; đây không phải là cuộc kiểm toán bảo mật độc lập.
Có, với mọi công cụ đang mở: mỗi công cụ có một manifest runtime có kiểu dữ liệu tuyên bố xử lý trong trình duyệt, đầu vào không rồi khỏi thiết bị và không lưu giữ. Các nhãn trên trang này được tạo từ những manifest đó. Mọi công cụ đám mây hoặc kết hợp trong tương lai phải công khai giới hạn của mình trước khi ra mắt.
Một CSP thiết kế kém sẽ làm hỏng đồng bộ tài khoản hoặc proxy phân tích đã được duyệt, nên biện pháp kiểm soát được xây trước với các route thật theo ADR 010. Trong lúc đó, trang này công khai thành thật các header đang được phục vụ và các kết nối bên ngoài có thể có, và các giới hạn mạng được thực thi trong mã nguồn cùng kiểm thử bao phủ.
Không. PostHog chạy không cookie với autocapture, ghi phiên, lưu trữ bền và hồ sơ người dùng đều tắt. Danh sách cho phép chỉ gồm lượt xem trang đã làm sạch, mười chín sự kiện sản phẩm có tên, Web Vitals và ngoại lệ — không bao giờ là đầu vào, đầu ra, tên tệp hay truy vấn — và các sự kiện chỉ rồi khỏi máy chủ proxy first-party.
Chúng được suy ra từ registry runtime và danh mục tại thời điểm build, và trang đo chuẩn hiển thị các lượt chạy đã đo phía sau dữ liệu của nó. Nếu một nhãn danh mục và một manifest runtime không khớp, sự không khớp được in ra trang này thay vì bị lấy trung bình.
Trang đo chuẩn hiển thị dữ liệu do harness tạo ra trong trình duyệt không đầu thật, bao gồm cả các lượt chạy canary chứng minh dữ liệu đầu vào ở lại thiết bị.