ブラウザベースのツールはなぜよりプライベートなのか

JSON Web Token をデコーダーに貼り付け、メタデータを削除するために写真をアップロードし、あるいは機密文字列のハッシュを計算するとき、あなたはそのデータをツールのサーバーに預けています。ブラウザベースのツールはこの信頼モデルを変えます。計算はあなたのブラウザで行われ、入力があなたの管理外のサーバーに届くことは決してありません。

サーバーツールの信頼の問題

従来のオンラインツールは次のように動きます。データを入力すると、ブラウザがそれをサーバーへ送り、サーバーが処理して結果を返します。つまり、サーバーはあなたの入力を見ています。デコードするトークン、アップロードする画像、ハッシュを計算する文字列、そのすべてです。あなたは運営者のプライバシーポリシー、データ保持方針、ログ、そしてセキュリティに頼ることになります。

入力によっては問題になりません。しかし、別の入力では非常に大きな問題になります。デバッグ中の JWT は本番システムへのアクセス権を与える可能性があり、写真の EXIF データはあなたの住所を明らかにする可能性があり、ハッシュを計算している文字列は秘密かもしれないからです。

ブラウザツールがモデルをどう変えるか

ブラウザベースのツールは、ページ内で動く JavaScript としてロジックを届けます。入力を与えると、そのローカルの JavaScript で処理が行われます。サーバーが行うのと同じ計算ですが、データを運ぶネットワークの往復はありません。あなたの入力はブラウザのメモリにとどまります。

iGotTools では、これが既定の動作です。JWT デコーダーはトークンをローカルでデコードし、EXIF メタデータビューアーは写真のメタデータをローカルで読み取り、ハッシュ＆チェックサムジェネレーターはダイジェストをローカルで計算します。いずれも入力を送信しません。

ローカル実行がとりわけ重要な3つのツール

JWT デコーダー

JSON Web Token は、ユーザー ID、スコープ、有効期限などを含むクレームをエンコードします。これをサーバーベースのデコーダーに貼り付けると、そのクレームをサーバーに渡すことになります。JWT デコーダーはトークンの構造を解析し、ヘッダーとペイロードを、トークンをどこにも送信せずに表示します。

EXIF メタデータビューアー

カメラやスマートフォンの写真には、GPS 座標、デバイスのシリアル番号、タイムスタンプなどを含む EXIF データが入っていることがあります。EXIF メタデータビューアーはそのメタデータをローカルで読み取るため、共有しようとしている内容を確認し、削除できます。写真をアップロードする必要はありません。

ハッシュ＆チェックサムジェネレーター

ハッシュは、ファイルの完全性を検証したり機密値を比較したりするためによく使われます。ハッシュ＆チェックサムジェネレーターは Web Crypto を使って SHA ダイジェストをローカルで計算するため、ハッシュを計算した文字列やファイルがデバイスから出ていくことはありません。

ツールがアップロードしていないかを確認する方法

ツールの言葉をそのまま信じる必要はありません。ツールがローカルで処理していることを確かめるには：

ブラウザの開発者ツールを開き、Network タブに切り替えます。
サンプル入力でツールを使います。
送信リクエストに注目します。本当にローカルなツールなら、入力を運ぶリクエストは発生せず、ページ自身のアセットだけが読み込まれます。

もしペイロードに入力を含むリクエストが見えたら、そのページの記載に関わらず、ツールはサーバーベースです。

ローカル実行にはできないこと

ブラウザツールはサーバーの万能な代用品ではありません。ブラウザだけで行うのが非現実的、あるいは不可能なタスクもあります。

外部データを必要とするタスク。 パブリック IP アドレスの照会、DNS レコードの名前解決、リモートリソースの取得は、性質上ネットワーク呼び出しを必要とします。
非常に重い計算。 大きな動画のトランスコードや巨大なバッチジョブは、ブラウザのメモリを使い果たしたり、低端のデバイスでは時間がかかりすぎたりします。
クロスオリジンのスクレイピング。 ブラウザはデフォルトでクロスオリジンリクエストをブロックするため、別のサイトを読み取る必要があるツールは、そのサイトの協力なしにはページから行えません。

このツールボックスのタスクについては、ローカル実行はサーバー同等品よりも速く、よりプライベートです。

FAQ

「ローカル」とは、ツールがネットワークリクエストを一切発行しないという意味ですか？

いいえ。ページ自体はネットワーク経由で読み込まれますし、一部のツールは正当な理由で特定の外部エンドポイントを呼びます（例えば、IP チェッカーはパブリック IP エコーサービスを呼んであなたのパブリックアドレスを取得します）。重要なのは、入力と出力が送信されないということです。上記の Network タブの確認で、これがはっきりと分かります。

ブラウザツールでもデータが漏れることはありますか？

ページにはツールと並んでサードパーティのスクリプト（分析や広告）が含まれることがあります。信頼できるツールはトラッキングを同意の背後に置き、分析のペイロードに入力を含めません。iGotTools では、分析にツールの入力、出力、生成値が含まれることは決してありません。

Web Crypto はサーバー側のハッシュと同じ強度ですか？

Web Crypto は、サーバーで使うのと同じ基盤アルゴリズム（SHA-256、SHA-384、SHA-512）を使用します。暗号強度は同一であり、違うのは計算がどこで実行されるかだけです。