Documenti · Strumento di fatturazione per freelance
Come verificare che un generatore di fatture online non stia inviando i dati del cliente
· Come funziona
fattura privacy API del browser sicurezza
I moduli di fatturazione riportano nomi, indirizzi, coordinate bancarie e codici fiscali, quindi vale la pena sapere dove vanno. Questo post mostra come monitorare la rete durante la digitazione e l'esportazione e come leggere la politica di sicurezza dei contenuti di un sito per il codice di terze parti.
Anche le sequenze di tasti sono dati: perché un modulo di fattura può trapelare prima ancora di premere Esporta
Un modulo può trasmettere dati su ciascun evento di input, molto prima che venga premuto un pulsante Esporta. Nomi, indirizzi, codici fiscali e istruzioni di pagamento sono già sensibili quando vengono digitati, quindi un controllo utile inizia con una pagina vuota e osserva l'intera sessione anziché solo il download finale.
Osservare il pannello Rete durante la digitazione: individuare le richieste di salvataggio automatico o di analisi che trasportano i contenuti del modulo
Apri il pannello Rete, conserva il registro e digita valori di esempio innocui in ogni campo pertinente. Ispeziona i payload delle richieste, le stringhe di query e le destinazioni anziché fare affidamento solo sul conteggio delle richieste. Il salvataggio automatico locale dovrebbe modificare la memoria del browser senza creare una richiesta di applicazione che trasporta tali campi.
Guardandolo durante l'esportazione: come appare la richiesta di un generatore PDF lato server rispetto a un'esportazione locale
Mantieni il pannello aperto durante l'esportazione PDF e JSON. Un renderer del server normalmente necessita di una richiesta contenente i dati del documento o un identificatore per i dati già caricati; un renderer locale può creare un BLOB e scaricarlo senza quel viaggio di andata e ritorno. L'origine della fattura crea il suo PDF nel browser.
Leggere la politica di sicurezza dei contenuti come un controllo, non come una prova che non venga eseguito alcun codice esterno
Lo schema esagera sulla politica di sicurezza dei contenuti: una politica può limitare script, caratteri e origini della connessione, ma le sue direttive esatte decidono cosa rimane consentito. Si tratta di un'intestazione utile da controllare, non di una prova autonoma che nessun codice di terze parti viene eseguito o che il codice consentito non legge mai un campo.
Script di terze parti e cosa vedono: perché l'analisi e i tag degli annunci in una pagina del modulo sono una questione di privacy, non solo di velocità
Gli script di analisi e pubblicità meritano un esame separato perché il codice in esecuzione nella pagina del modulo può osservare più del builder PDF. L'attuale manifest della fattura disabilita entrambi e il contenuto delle limitazioni vieta i campi della fattura negli eventi di analisi ToolAcre, mentre la documentazione più ampia del blog avverte che la distribuzione può iniettare analisi a livello di sito.
Esempio funzionante: un controllo completo sullo strumento di fatturazione per freelance dalla prima battitura al PDF scaricato
Per una procedura dettagliata, ricarica con il registro conservato, inserisci valori inventati, ispeziona localStorage, genera entrambe le esportazioni e cerca ogni richiesta per tali valori. Ripeti con le estensioni del browser disabilitate se devi distinguere l'attività della pagina dal traffico delle estensioni. Salva le prove, non solo la conclusione.
Ciò non copre: la sicurezza del tuo dispositivo e le estensioni del browser, che un sito web non può controllare
Questo controllo non può dimostrare la sicurezza del sistema operativo, del profilo del browser, delle estensioni, della destinazione dei file scaricati o del successivo flusso di lavoro della posta elettronica. Osserva inoltre una versione distribuita alla volta. I dati reali riservati appartengono a un flusso di lavoro offline quando il codice di terze parti a livello di pagina o l'attendibilità del dispositivo sono inaccettabili.
Conclusione: verifica la gestione dei campi senza dichiarare che l'intera pagina di produzione non contenga script di terze parti
Il repository verifica l'elaborazione locale delle fatture, l'archiviazione locale delle bozze e le esportazioni integrate nel browser; non giustifica la promessa più ampia della cartella di lavoro secondo cui un'intera pagina di produzione non ha sempre script di terze parti. Controlla tu stesso la risposta e le richieste distribuite e descrivi solo il flusso del campo supportato dalle prove.