Come verificare che i tuoi file non vengano caricati
Tutti questi siti dicono di essere privati. Come faccio a verificarlo davvero?
Parti dal presupposto giusto
Una promessa di privacy su una pagina di marketing non è una prova. Non lo sono nemmeno l'icona del lucchetto, un badge o una frase in un'informativa: descrivono le intenzioni, mentre quello che vuoi sapere è il comportamento. Per fortuna il comportamento si può osservare: ogni browser include strumenti che ti mostrano esattamente cosa invia una pagina, e non serve essere sviluppatori per leggerli.
Fai questi controlli su questo sito. Falli sul sito che usavi prima. Il punto non è fidarsi di una promessa diversa: è smettere di doversi fidare di una promessa.
Controllo uno: guarda il pannello di rete
- Apri gli strumenti per sviluppatori. Sulla maggior parte dei browser desktop si fa con F12, oppure Ctrl+Maiusc+I, oppure Cmd+Opzione+I.
- Seleziona la scheda Network e assicurati che la registrazione sia attiva.
- Ricarica la pagina, poi svuota l'elenco così parti da un registro vuoto.
- Scegli il tuo file ed esegui l'operazione.
- Ordina per dimensione, oppure controlla nella colonna Method le richieste POST e PUT.
Quello che cerchi è una richiesta il cui payload sia dell'ordine di grandezza del tuo file, e qualsiasi richiesta verso un host che non sia il sito su cui ti trovi. Uno strumento locale mostrerà richieste per il proprio codice — script, fogli di stile, moduli WebAssembly, forse un file di modello — e poi più nulla mentre il lavoro procede. Un servizio che carica i file mostrerà una richiesta che trasporta diversi megabyte nel momento in cui premi il pulsante.
Controllo due: togli la rete
È il controllo più forte e non richiede alcuna competenza. Carica la pagina normalmente, usa lo strumento una volta perché il motore che gli serve finisca in cache, poi disconnettiti: attiva la modalità aereo, spegni il Wi-Fi o usa l'interruttore offline negli strumenti per sviluppatori. Adesso elabora un file.
Se arriva in fondo, l'elaborazione non può essere avvenuta altrove che sulla tua macchina. Non c'è alcuna ambiguità su cui discutere. Se fallisce o si blocca, qualcosa nella pipeline aveva bisogno di un server — cosa che può essere legittima, per esempio un file di modello non ancora in cache — ma adesso sai che devi chiedere di che cosa si tratta.
Controllo tre: leggi la content security policy
Una content security policy è un'intestazione che il sito invia e che il browser fa rispettare. La sua direttiva connect-src elenca le destinazioni verso cui la pagina può aprire una connessione. Se connect-src è limitata all'origine del sito stesso, sarà il browser a bloccare qualsiasi tentativo di inviare qualcosa altrove, a prescindere da cosa provi a fare il codice della pagina.
Per leggerla, apri la scheda Network, fai clic sulla richiesta del documento — di solito la prima riga — e cerca fra le intestazioni di risposta quella Content-Security-Policy. Una policy che contiene connect-src 'self' senza host esterni è un vincolo concreto, imposto dal browser, non una promessa.
Cosa dimostra ciascun controllo
| Controllo | Cosa dimostra | Cosa non copre |
|---|---|---|
| Pannello di rete | Cosa ha inviato questa pagina durante questa sessione | Un percorso di codice diverso, una versione successiva del sito o una richiesta fatta dopo che hai smesso di guardare |
| Prova offline | Che l'elaborazione vera e propria avviene in locale | Se qualcosa viene messo in coda e inviato quando ti ricolleghi |
| Content security policy | Verso dove il browser permette in assoluto le connessioni | Tutto ciò che la policy permette, compresa l'origine del sito stesso |
| Lettura del codice sorgente | Cosa contiene il codice distribuito | La fatica; e va ripetuta ogni volta che il sito cambia |
Insieme sono solidi. Presi uno per uno ognuno ha una falla, e chi ti dice che un solo controllo chiude la questione sta semplificando troppo.
Segnali che uno strumento non è locale
- Una barra di avanzamento che si muove a una velocità scollegata dal tuo dispositivo: fluida e identica su un portatile veloce e su un telefono vecchio.
- Un risultato consegnato come link a un URL di download sul loro dominio, invece che come un file che il tuo browser ha già.
- Un messaggio sui file che vengono eliminati dai loro server dopo un certo numero di ore. Quella frase è l'ammissione che i file erano lì.
- Una coda o un limite di richieste. Il tuo processore non ha una coda condivisa con altre persone.
- Lo strumento funziona con la rete disconnessa solo per il primo file piccolo, poi si ferma.
I limiti della verifica
La verifica ti dice qualcosa sulla versione del sito che hai provato, nel giorno in cui l'hai provata. Un sito può cambiare domani. Per questo i controlli che contano di più sono quelli strutturali: una content security policy restrittiva e una prova offline superata sono proprietà di come è costruita l'applicazione, non promesse su una particolare release.
Due cose restano fuori da ogni controllo di questo elenco. Un'estensione del browser può leggere il contenuto di qualsiasi pagina, compreso il file che vi hai caricato, e nessun sito può impedirlo. Il tuo sistema operativo vede ogni file che apri. Se un documento è così delicato da rendere importanti queste due cose, elaboralo con software offline su una macchina che controlli, e considera qualunque sito web — questo compreso — lo strumento sbagliato per quel lavoro.
Strumenti utili
Fonti
- W3C — Content Security Policy Level 3
- MDN — Content-Security-Policy connect-src
- Chrome DevTools — inspect network activity
- MDN — Firefox Network Monitor