Outils de développement · Comparaison de texte
Comment vérifier qu'un outil de comparaison de navigateur ne télécharge jamais votre texte : Guide DevTools
· Comment ça marche
texte-diff confidentialité traitement du navigateur
Une présentation étape par étape de l'utilisation du panneau réseau du navigateur pour confirmer qu'une comparaison s'exécute localement, ainsi que ce qu'une politique de sécurité de contenu stricte vous indique à propos de la page.
« S'exécute dans votre navigateur » est une affirmation que vous pouvez tester ; elle énonce le problème : les pages de confidentialité sont des promesses, les requêtes réseau sont des faits.
« S'exécute dans votre navigateur » doit être testé à la limite utile la plus étroite. Pour Text diff, le référentiel affiche les valeurs de l'éditeur transmises directement à `diffLines`, les lignes rendues dans les nœuds DOM et la sortie facultative transmise à un assistant de téléchargement local. Aucune API de comparaison ne se trouve dans cette chaîne.
La source statique est une forme de preuve, et non une garantie concernant chaque composant de page déployé. Associez-le à une observation d’exécution en utilisant un texte de marqueur inoffensif. Cette combinaison prend en charge une affirmation précise sur l'action que vous avez effectuée sans prétendre auditer les extensions de navigateur, les presse-papiers du système d'exploitation ou les versions futures.
Ouvrir le panneau réseau avant de coller : montre comment ouvrir DevTools, effacer la liste de requêtes et la conserver en enregistrement.
Ouvrez les outils de développement avant de saisir des éléments sensibles. Sélectionnez Réseau, effacez les demandes de chargement de page précédentes, conservez le journal uniquement si nécessaire et continuez l'enregistrement. Utilisez un marqueur distinctif mais non secret de chaque côté afin de pouvoir rechercher des URL, des en-têtes et des corps de requête sans exposer le contenu réel.
Les ressources de temps de chargement ne constituent pas une preuve que le texte de comparaison a été transmis. L'observation utile est de savoir si cliquer sur Comparer, basculer les options, changer de côté ou télécharger crée une requête contenant le marqueur. Enregistrez la version de la page et le navigateur afin qu'un autre réviseur comprenne la portée de la vérification.
Lecture des requêtes lors d'une comparaison — explique ce qui devrait apparaître (rien de nouveau) et ce qui serait un signal d'alarme : requêtes POST, balises, hôtes tiers
Lors de la comparaison, `diff.js` reçoit deux chaînes et options. Il normalise les fins de ligne, dérive les clés de ligne, construit une table de tableau typé borné et renvoie les lignes. L'interface utilisateur mappe ces lignes à des éléments à l'aide de contenu textuel. Aucune de ces fonctions n'appelle fetch, XHR, WebSocket ou une balise.
Le téléchargement suit un autre chemin local : `toUnifiedText` crée une chaîne avec des en-têtes et des lignes préfixées, puis `downloadText` produit le téléchargement du navigateur. Vérifiez cette aide lorsque vous faites une réclamation complète concernant l’épargne. Lire uniquement l’algorithme laisserait l’action finale en dehors de la chaîne de preuves.
Ce que révèle un en-tête de politique de sécurité du contenu : décrit comment le CSP strict de ToolAcre interdit les scripts, polices et balises externes, et comment lire l'en-tête dans la vue de réponse.
Le plan demandait une conclusion stricte en matière de politique de sécurité du contenu, mais CSP est une propriété de réponse et les preuves de déploiement ne sont pas contenues dans ces fichiers de comparaison. Inspectez la réponse réelle du document dans Network lorsque CSP appartient à votre modèle de menace et signalez la directive exactement comme observée.
Une politique restrictive peut réduire certaines classes de chargement externe, mais elle ne remplace pas le traçage de l'entité. À l’inverse, l’absence d’une directive souhaitée ne prouverait pas que Compare publie du texte. Conservez l’inspection des politiques et l’observation des flux de données comme des résultats distincts plutôt que de laisser l’un remplacer l’autre.
Les preuves CSP appartiennent à la réponse déployée, et non aux fichiers sources text-diff examinés ici.
Pour un contrôle réussi, entrez `left-marker-7319` et `right-marker-4826`, désactivez Réseau, puis cliquez sur Comparer avec Ignorer le cas de manière intermittente. Recherchez les nouveaux détails de la demande pour les deux marqueurs. Le chemin du référentiel attendu effectue uniquement le travail DOM, donc l'action elle-même ne devrait pas nécessiter de requête de traitement de texte.
Si une requête apparaît, identifiez son initiateur et sa charge utile avant de conclure que le diff a envoyé du contenu. Une extension ou un script de page sans rapport peut créer du trafic au même moment. Le test des marqueurs restreint la question : si ces valeurs distinctives ont saisi cette requête, et non si le navigateur a fait une requête du tout.
Pourquoi aucun compte et aucun stockage ne font partie de la même vérification – couvre l'inspection du stockage du navigateur pour confirmer que rien ne persiste entre les visites
L'interface utilisateur stocke `lastDiff` dans une variable locale afin que le correctif de téléchargement puisse utiliser le dernier résultat. Clear vide les deux éditeurs, efface la sortie rendue et définit cette variable sur null. Le chemin examiné ne contient aucun appel localStorage, IndexedDB ou compte pour l’historique de comparaison.
Cette conclusion de source est plus étroite que « rien ne persiste nulle part ». La restauration du formulaire du navigateur, les extensions et le texte copié ont un comportement distinct. Inspectez le stockage pour connaître l’origine actuelle et rechargez avec des marqueurs inoffensifs si la persistance est importante. Énoncez exactement ce que vous avez observé plutôt que d’élever une recherche de code au rang de promesse de confidentialité universelle.
L'outil n'expose aucun appel de persistance ; inspecter le stockage actuel du navigateur séparément avant les réclamations générales
Cette revue couvre les modules Text diff de ToolAcre et l'assistant de téléchargement local utilisé par son interface utilisateur. Il ne certifie pas tous les scripts chargés par un déploiement, les middlewares réseau en dehors du référentiel, les extensions injectées ou les gestionnaires de presse-papiers. Ces éléments nécessitent leurs propres preuves.
L'habitude opérationnelle la plus sûre reste la minimisation : collez uniquement les champs requis pour la comparaison, utilisez des appareils expurgés pour la vérification et conservez le matériel hautement réglementé dans un environnement approuvé. Une implémentation côté navigateur supprime un serveur de traitement du chemin ; il ne supprime pas tous les systèmes environnants.
Les extensions et la page déployée restent en dehors de la preuve de chemin de comparaison statique
Une déclaration de non-téléchargement fiable indique sa portée et sa date. L'examen des sources prouve que le graphique d'appel de comparaison ne comporte pas de fonctionnement réseau ; un test de marqueur propre prouve ce qui s'est passé au cours d'une session d'exécution. Ensemble, ils sont plus forts qu’un slogan de confidentialité et plus faciles à répéter après une publication.
Exécutez la vérification avant de vous fier à l'outil pour un travail confidentiel, puis comparez uniquement les éléments que votre environnement de navigateur est autorisé à contenir. Les preuves doivent accompagner la conclusion : les chemins sources, les demandes observées et toutes les couches non examinées, et non une assurance absolue non étayée par le chemin complet.