Questo sito carica i tuoi file?

Due modi in cui può funzionare uno strumento per file

La maggior parte degli strumenti online per file carica il tuo file sul proprio server, lo elabora lì e ti rimanda il risultato. Il tuo file resta per un po' sul computer di qualcun altro, e devi fidarti di quello che dicono sulla sua eliminazione.

Alcuni strumenti invece fanno il lavoro dentro il tuo browser, con codice che la pagina scarica sul tuo dispositivo. Il file viene letto dal disco in memoria e il risultato viene salvato direttamente sul disco. Niente passa per la rete, quindi non c'è niente da eliminare.

Sullo schermo sembrano uguali: un'area in cui trascinare il file, una barra di avanzamento, un pulsante per scaricare. I controlli qui sotto mostrano la differenza.

Osserva il pannello Network

Il pannello Network (Rete) negli strumenti per sviluppatori del browser elenca ogni richiesta che una pagina fa. Se un sito carica il tuo file, il caricamento deve comparire lì.

1. Apri la pagina dello strumento su un computer, poi apri gli strumenti per sviluppatori: F12, oppure Cmd+Option+I su Mac.
2. Seleziona la scheda Network. Spunta Preserve log (Conserva log), così l'elenco resta anche se ricarichi la pagina, e cancella quello che c'è già.
3. Elabora un piccolo file di prova, non uno a cui tieni.
4. Cerca le richieste inviate con il metodo POST o PUT (fai clic destro sulle intestazioni delle colonne per mostrare la colonna Method, cioè Metodo). Selezionane una e leggi gli header della richiesta: un Content-Length vicino alla dimensione del tuo file, o un tipo di contenuto come multipart/form-data, significa che il tuo file è partito con quella richiesta.
5. Controlla anche dove sono andate le richieste. I caricamenti spesso vanno a un indirizzo diverso da quello del sito, per esempio un servizio di archiviazione cloud.

I download sono normali. La prima volta che usi uno strumento, la pagina può scaricare il suo codice, dei moduli WebAssembly o un modello di AI. Quelli arrivano a te; ciò che conta è quello che esce.

Stacca la spina

1. Apri lo strumento ed elabora un file di prova, così tutto ciò che gli serve è già caricato.
2. Vai offline: attiva la modalità aereo, oppure scegli Offline nel menu di limitazione della rete (throttling) del pannello Network.
3. Elabora un altro file. Se funziona, il lavoro avviene sul tuo dispositivo. Se lo strumento si blocca con un errore di rete, aveva bisogno di un server.

C'è un però: una pagina potrebbe tenersi il file e inviarlo quando torni online. Tieni aperto il pannello Network quando ti riconnetti e guarda cosa esce.

Leggi la Content-Security-Policy

Un sito può inviare un header Content-Security-Policy: regole che il browser applica alla pagina, qualunque cosa tentino di fare gli script della pagina stessa. La sua regola connect-src elenca i server a cui gli script della pagina possono inviare dati.

Per vederla, seleziona la prima richiesta nel pannello Network (la pagina stessa) e cerca content-security-policy tra gli header della risposta. Oppure, da terminale:

curl -sI https://example.com | grep -i content-security-policy

connect-src 'self' significa che gli script possono comunicare solo con l'indirizzo del sito stesso. Un elenco di altri indirizzi significa che possono inviare dati anche a quelli. Nessuna policy, o un * in connect-src, significa che il browser non pone alcun limite.

Un connect-src rigoroso è un segnale forte, non una prova. 'self' consente comunque il server del sito stesso, quindi abbinalo al test del pannello Network. Inoltre connect-src copre i modi abituali con cui gli script inviano dati (fetch, XHR, WebSockets, beacon), non tutti quelli possibili: anche caricare un'immagine o inviare un modulo può trasportare dati, ed è per questo che un sito attento limita anche img-src e form-action.

Cosa questi controlli non possono dirti

• Cosa fa un server con un file una volta che lo ha: per quanto tempo lo conserva, chi può vederlo, per cos'altro viene usato. Su questo hai solo la policy dell'azienda e la fiducia che ci riponi.
• Se domani il sito cambia. Una pagina può caricare codice diverso a ogni visita, quindi un test vale per la versione che hai testato. Un codice sorgente pubblico e una policy rigorosa rendono più difficili i cambiamenti silenziosi.
• Cosa fanno le estensioni del tuo browser. Un'estensione autorizzata a leggere una pagina può vedere anche i tuoi file, su qualsiasi sito.

In breve

Pannello Network

Nessuna richiesta POST o PUT che trasporta il tuo file.

Offline

Lo strumento continua a funzionare con la rete disattivata.

Policy

connect-src limitato al sito stesso.

Codice

Pubblicato, così chiunque può leggere cosa fa la pagina.

Verificare Eolietech

Gli strumenti di Eolietech sono costruiti per superare ognuno di questi controlli. La sua pagina sulla sicurezza mostra la policy esatta che il sito invia e ripercorre gli stessi test su eolietech.com.

• Verifica Eolietech