Segurança e processamento local
Como a reivindicação de processamento local é aplicada em vez de declarada e como relatar uma vulnerabilidade.
DRAFT — NOT REVIEWED POR UM LAWYER. Este documento foi preparado como ponto de partida para o proprietário do site. Não se trata de aconselhamento jurídico, não foi revisto por um profissional qualificado e pode não satisfazer os requisitos de qualquer jurisdição específica. Não confie nisso como está.
Status deste documento
ToolAcre está disponível publicamente em https://toolacre.com/. É um site estático servido por meio de Cloudflare Pages; não há servidor de aplicativos ToolAcre no caminho de solicitação da página.
Por que "processado localmente" pode ser verificado
Qualquer site pode alegar que não carrega seus arquivos. A questão útil é se você pode verificar isso, e aqui você pode: abrir as ferramentas de desenvolvedor do seu navegador, mudar para o painel de rede e usar uma ferramenta.
Antes de qualquer escolha, você verá solicitações de estado negado para o Google Analytics 4 e um contêiner vazio do Gerenciador de tags do Google. As solicitações de medição de análise do API de ToolAcre só poderão aparecer depois que você permitir a análise. O que o código da ferramenta ToolAcre nunca deve enviar, sob qualquer configuração de consentimento, é uma solicitação contendo seu arquivo, texto colado ou saída gerada. O protetor de rede automatizado verifica essa propriedade em todo o aplicativo; ela não faz promessas em nome do Google sobre os detalhes internos dos scripts do Google.
Como é aplicado na base de código
- Os testes automatizados do projeto incluem um protetor de rede que falha se uma ferramenta tentar fazer uma solicitação que não deveria fazer.
- Os criadores de dados estruturados recusam-se a emitir classificações, avaliações, preços ou contagens de utilização, por isso nenhum sinal de confiança fabricado pode ser introduzido por acidente.
- Uma verificação de espaço reservado é executada no CI e bloqueia qualquer commit que contenha um identificador real de publicidade ou análise, uma chave privada ou um link de perfil pessoal.
- As dependências são restritas a licenças permissivas e as adições são revisadas em vez de presumidas.
As advertências honestas
- O Direct Media Downloader faz solicitações de rede por design; essa é a sua função e anuncia cada uma.
- O processamento local significa que o código da ferramenta ToolAcre não carrega o arquivo ou texto que você fornece. As páginas habilitadas para análise ainda buscam os scripts do Google divulgados na Política de Privacidade. O processamento local não protege você contra malware, uma extensão comprometida, outro script que você consentiu ou alguém com acesso à sua tela.
- Remover metadados de imagens não é anonimato. A ferramenta de privacidade de metadados de imagens diz isso em suas próprias páginas.
- Estes são utilitários de navegador, não produtos de segurança auditados. Nenhum foi submetido a uma auditoria de segurança de terceiros e este documento não afirma o contrário.
Relatando uma vulnerabilidade
Os problemas do lado do cliente estão no escopo e são bem-vindos: scripts entre sites, poluição de protótipos, vulnerabilidades de dependência e, acima de tudo, qualquer caso em que os dados saem do navegador quando uma página afirma que não.
As ferramentas públicas são ativos estáticos de páginas da Cloudflare sem nenhum aplicativo ToolAcre API ou banco de dados de conta no caminho da solicitação. O Edge Worker separado lida com redirecionamentos e verificações de integridade; relatórios sobre qualquer superfície estão no escopo.
Um arquivo de contato legível por máquina é publicado em /.well-known/security.txt.
A correspondência enviada para contact@toolacre.com foi entregue. Ele é encaminhado para uma caixa de correio monitorada em vez de ser respondido por um endereço neste domínio, portanto, uma resposta chegará de outro lugar.
Sem recompensa de bugs
Não há programa de recompensas nem orçamento de recompensas. Dizer isso claramente é mais justo do que deixar que um pesquisador descubra isso depois de fazer o trabalho.