Come verificare che uno strumento online non carichi davvero i tuoi file

Perché "funziona nel browser" va verificato

Quasi tutti gli strumenti online per i file dicono di rispettare la tua privacy. Convertitori, editor PDF, visualizzatori di fogli di calcolo e compressori di immagini promettono che i dati sono al sicuro, ma una promessa non è una prova. Io sviluppo gli strumenti di HowToToolkit, quindi ho un interesse evidente a chiederti di fidarti, e non dovresti doverlo fare. I browser permettono di verificare l'affermazione da soli in pochi minuti, e gli stessi test valgono per qualsiasi sito, il nostro compreso.

Cosa significa davvero elaborazione locale

Quando una pagina elabora un file in locale, JavaScript riceve il file tramite la File API del browser, cioè ciò che offrono un campo di selezione file o il trascinamento. Il codice legge i byte in memoria, li analizza e mostra il risultato. Nessuna richiesta di rete deve portare il contenuto altrove. L'elaborazione cloud è l'opposto: il browser invia il file a un server, di solito con un upload multipart, e scarica il risultato.

Esiste anche un modello ibrido, facile da non vedere. Uno strumento può analizzare il file in locale ma inviare parti del contenuto a un servizio remoto per la parte difficile, come l'OCR o un modello di intelligenza artificiale. I test qui sotto permettono di distinguere i tre casi.

Test 1: osserva il pannello Network

1. Apri la pagina dello strumento, poi apri i DevTools con F12 (o Ctrl+Maiusc+I, oppure Cmd+Opzione+I su macOS) e scegli la scheda Network.
2. Spunta "Preserve log" e svuota l'elenco, così le richieste fatte durante il caricamento della pagina non creano confusione.
3. Carica un file nello strumento ed esegui l'operazione che ti interessa.
4. Leggi le nuove richieste. Cerca qualsiasi richiesta POST o PUT e confronta la dimensione inviata ("Sent") con quella del tuo file.

Le richieste piccole sono normali: un ping di analytics, un font o un frammento di script scaricato la prima volta che apri una funzione. Ciò che deve preoccupare è una richiesta grande quanto il tuo file diretta a un host che non riconosci. Una variante più precisa: crea un file di prova che contenga una stringa unica, per esempio un nome inventato, poi usa la ricerca del pannello Network per cercarla nei corpi delle richieste. Se compare, il contenuto è stato inviato.

Test 2: vai offline dopo il caricamento della pagina

Quando la pagina e i suoi script sono caricati, imposta il menu di limitazione della rete su "Offline", oppure spegni il Wi-Fi. Ora elabora un file diverso. Uno strumento che lavora davvero in locale continua a funzionare, perché tutto ciò che gli serve è già in memoria. È la prova singola più forte che puoi raccogliere: senza connessione non può essere avvenuto alcun upload.

Una precisazione evita un falso allarme. Molti strumenti caricano le librerie di analisi più pesanti in modo differito, alla prima volta che usi una funzione. Se lo strumento fallisce offline già al primo utilizzo, eseguilo una volta online e ripeti il test offline. Un errore da quel momento in poi merita un'indagine, uno prima non dimostra nulla.

Test 3: leggi gli header e la documentazione

L'header Content-Security-Policy può includere la direttiva connect-src, che limita gli host che gli script della pagina possono contattare. Se elenca solo l'origine del sito, gli invii silenziosi a terzi sono bloccati dal browser stesso. Puoi controllarla selezionando il documento della pagina nel pannello Network e leggendo gli header di risposta. Molti siti onesti non impostano una policy restrittiva, quindi la sua assenza non dice nulla, ma la sua presenza è una garanzia in più.

Poi leggi l'informativa sulla privacy e l'eventuale descrizione del flusso dei dati. Un documento affidabile indica cosa viene elaborato in locale, cosa viene inviato e perché. Formule vaghe come "potremmo condividere i dati con partner" meritano un secondo sguardo. Su HowToToolkit queste informazioni si trovano nella pagina sul flusso dei dati, nella sezione legale, e puoi confrontarle con ciò che mostra il pannello Network.

Cosa l'elaborazione locale non copre

Superare i tre test significa che il contenuto del file è rimasto sul tuo dispositivo. Non significa che dalla pagina non esca nulla, ed è utile sapere cos'altro può esserci:

• Script di analytics e di consenso. Non dovrebbero mai trasportare il contenuto dei file, ma possono trasportare l'URL della pagina, il tuo indirizzo IP e metadati simili. Il controllo delle preferenze cookie serve a gestirli.
• Funzioni che richiedono un server per loro natura. Accesso, quote d'uso e verifiche su un registro ufficiale comportano una richiesta. Un verificatore di partite IVA, per esempio, deve inviare il numero al registro per validarlo. Valutale per ciò che viene inviato, non per il fatto che qualcosa venga inviato.
• Estensioni del browser. Le estensioni possono leggere il contenuto della pagina, quindi se i dati sono davvero sensibili ripeti il test in una finestra privata con le estensioni disattivate.
• Il tuo computer. Il file resta in memoria finché la scheda è aperta e i risultati scaricati finiscono nella cartella Download.

Una checklist in cinque punti

1. Pannello Network: nessuna richiesta POST o PUT della dimensione di un upload durante l'elaborazione.
2. Ricerca della stringa unica: il contenuto di prova non compare in nessun corpo di richiesta.
3. Prova offline: un secondo file viene elaborato senza connessione.
4. Header: connect-src, se presente, elenca solo origini che ti aspetti.
5. Documentazione: l'informativa dichiara chiaramente cosa viene e cosa non viene inviato.

Un'abitudine pratica

Esegui prima i test con un file di prova, e solo dopo con dati reali. Se tratti anagrafiche di clienti, esportazioni finanziarie o credenziali, rendi questo controllo parte del modo in cui valuti ogni nuovo strumento, come leggeresti una licenza prima di adottare una libreria. Per vedere il principio in azione, strumenti come l'anonimizzatore CSV o il sanitizzatore di metadati delle immagini AI sono buoni candidati: esistono per rimuovere informazioni sensibili, quindi è ragionevole chiedere loro di dimostrare che non le inviano altrove.

Niente di tutto questo rende uno strumento corretto o sicuro sotto ogni altro aspetto, e una singola esecuzione dei test è un'istantanea, non una certificazione. I siti cambiano, e cambiano anche gli script che caricano. Ripeti i test quando la posta in gioco è alta.