Безопасность и локальная обработка
Как требование локальной обработки применяется, а не утверждается, и как сообщить об уязвимости.
DRAFT — NOT REVIEWED LAWYER. Этот документ был подготовлен в качестве отправной точки для владельца сайта. Это не юридическая консультация, она не была проверена квалифицированным специалистом и может не соответствовать требованиям какой-либо конкретной юрисдикции. Не полагайтесь на это как есть.
Статус этого документа
ToolAcre общедоступен по адресу https://toolacre.com/.. Это статический сайт, обслуживаемый через Cloudflare Pages; в пути запроса страницы нет сервера приложений ToolAcre.
Почему «обрабатывается локально» можно проверить
Любой сайт может заявить, что не загружает ваши файлы. Полезный вопрос заключается в том, можете ли вы это проверить, и здесь вы можете: открыть инструменты разработчика вашего браузера, переключиться на панель сети и использовать инструмент.
Перед любым выбором вы увидите запросы с отрицательным состоянием для Google Analytics 4 и пустой контейнер Диспетчера тегов Google. Запросы на измерение аналитики от API ToolAcre могут появиться только после того, как вы разрешите аналитику. Код инструмента ToolAcre никогда не должен отправлять ни при каких настройках согласия, так это запрос, содержащий ваш файл, вставленный текст или сгенерированный вывод. Автоматизированная защита сети проверяет это свойство во всем приложении; он не дает обещаний от имени Google относительно внутреннего устройства скриптов Google.
Как это реализовано в кодовой базе
- Автоматические тесты проекта включают защиту сети, которая дает сбой, если инструмент пытается выполнить запрос, который ему не следует делать.
- Разработчики структурированных данных отказываются публиковать рейтинги, обзоры, цены или количество использований, поэтому никакой сфабрикованный сигнал доверия не может быть случайно введен.
- Сканирование заполнителей выполняется в CI и блокирует любую фиксацию, содержащую реальный рекламный или аналитический идентификатор, закрытый ключ или ссылку на личный профиль.
- Зависимости ограничиваются разрешительными лицензиями, а дополнения скорее проверяются, чем предполагаются.
Честные предостережения
- Direct Media Downloader специально выполняет сетевые запросы; в этом его функция, и он объявляет каждую из них.
- Локальная обработка означает, что код инструмента ToolAcre не загружает предоставленный вами файл или текст. Страницы с поддержкой аналитики по-прежнему загружают скрипты Google, указанные в Политике конфиденциальности. Локальная обработка не защищает вас от вредоносного ПО, взломанного расширения, другого сценария, на использование которого вы дали согласие, или от кого-либо, имеющего доступ к вашему экрану.
- Удаление метаданных изображения не является анонимностью. Об этом сообщает Инструмент конфиденциальности метаданных изображений на своих страницах.
- Это утилиты для браузера, а не проверенные продукты безопасности. Ни один из них не прошел сторонний аудит безопасности, и в этом документе не утверждается иное.
Сообщить об уязвимости
Проблемы на стороне клиента заслуживают внимания: межсайтовые сценарии, загрязнение прототипов, уязвимости зависимостей и, прежде всего, любые случаи, когда данные покидают браузер, хотя страница утверждает, что это не так.
Общедоступные инструменты представляют собой статические ресурсы Cloudflare Pages без приложения ToolAcre API или базы данных учетных записей в пути запроса. Отдельный Edge Worker обрабатывает перенаправления и проверки работоспособности; отчеты о любой поверхности входят в объем работ.
Машиночитаемый файл контактов опубликован по адресу /.well-known/security.txt..
Почта, отправленная на contact@toolacre.com, доставлена. Оно пересылается в отслеживаемый почтовый ящик, а не отвечает на него с адреса в этом домене, поэтому ответ придет откуда-то еще.
Нет вознаграждения за ошибки
Нет программы вознаграждений и бюджета вознаграждений. Сказать об этом прямо честнее, чем позволить исследователю обнаружить это после выполнения работы.