セキュリティとローカル処理
ローカル処理の主張が主張されるのではなく強制される方法と、脆弱性を報告する方法。
草案 — 弁護士による検討は行われていません。このドキュメントは、サイト所有者向けの出発点として作成されました。これは法的アドバイスではなく、資格のある専門家によるレビューを受けておらず、特定の管轄区域の要件を満たしていない可能性があります。そのまま依存しないでください。
この文書のステータス
ToolAcre は https://toolacre.com/. で公開されています。これは Cloudflare Pages を通じて提供される静的サイトです。ページ要求パスに ToolAcre アプリケーション サーバーがありません。
「ローカルで処理」がチェックできる理由
どのサイトでも、ファイルをアップロードしていないと主張することができます。有益な質問は、それを検証できるかどうかです。ブラウザの開発者ツールを開き、ネットワーク パネルに切り替えて、ツールを使用すれば検証できます。
選択を行う前に、Google アナリティクス 4 に対する拒否状態のリクエストと空の Google タグ マネージャー コンテナが表示されます。 ToolAcre の API からの分析測定リクエストは、分析を許可した後にのみ表示される場合があります。 ToolAcre のツール コードが送信してはいけないものは、いかなる同意設定でも、ファイル、貼り付けられたテキスト、または生成された出力を含むリクエストです。自動ネットワーク ガードは、アプリケーション全体でそのプロパティをチェックします。 Google のスクリプトの内部について Google に代わって約束するものではありません。
コードベースでどのように適用されるか
- このプロジェクトの自動テストには、ツールが行うべきではないリクエストを試みた場合に失敗するネットワーク ガードが含まれています。
- 構造化データビルダーは評価、レビュー、価格、使用回数の発信を拒否するため、捏造された信頼シグナルが誤って導入されることはありません。
- プレースホルダー スキャンは CI で実行され、実際の広告識別子、分析識別子、秘密キー、または個人プロファイル リンクを含むコミットをブロックします。
- 依存関係は許容ライセンスに制限されており、追加は想定されるのではなく確認されます。
正直な注意点
- Direct Media Downloader は設計によりネットワーク リクエストを行います。それがその機能であり、それぞれをアナウンスします。
- ローカル処理とは、ToolAcre のツール コードが、提供されたファイルやテキストをアップロードしないことを意味します。分析が有効なページは、プライバシー ポリシーで開示されている Google スクリプトを引き続き取得します。ローカル処理では、マルウェア、侵害された拡張機能、同意した別のスクリプト、または画面にアクセスできる誰かからユーザーを保護することはできません。
- 画像メタデータの削除は匿名性ではありません。 Image Metadata Privacy Tool は、自身のページでそのように述べています。
- これらはブラウザ ユーティリティであり、監査済みのセキュリティ製品ではありません。いずれも第三者によるセキュリティ監査を受けておらず、この文書ではそれ以外の主張は行っておりません。
脆弱性の報告
クライアント側の問題は範囲内であり、歓迎されます。クロスサイト スクリプティング、プロトタイプ汚染、依存関係の脆弱性、そして何よりも、ページがデータをブラウザから出さないと主張しているにもかかわらずデータがブラウザから出ていくケースです。
パブリックツールは、リクエストパスにToolAcreアプリケーションAPIやアカウントデータベースを持たない静的なCloudflare Pagesアセットです。別のエッジ ワーカーがリダイレクトとヘルス チェックを処理します。どちらの表面に関するレポートも対象範囲内です。
機械読み取り可能な連絡先ファイルは、/.well-known/security.txt で公開されています。
contact@toolacre.com に送信されたメールが配信されます。このドメインのアドレスから応答されるのではなく、監視されているメールボックスに転送されるため、応答は別の場所から届きます。
バグ報奨金なし
報奨金プログラムや報酬予算はありません。研究者に研究を行ってから発見してもらうよりも、はっきりそう言うほうが公平です。