Rien n’est envoyé — voici comment le vérifier

Tous les convertisseurs de fichiers affichent quelque part une promesse de confidentialité. Presque aucun ne vous donne le moyen de la mettre à l’épreuve. Cette page, si : les vérifications ci-dessous prennent une trentaine de secondes chacune, ne demandent rien d’autre que le navigateur que vous utilisez déjà, et nous prendraient immédiatement en défaut si nous mentions.

En quoi consiste exactement l’affirmation

Quand vous convertissez un fichier ici, les octets de ce fichier ne sont jamais transmis nulle part. Les décodeurs et les encodeurs sont des modules WebAssembly que votre navigateur télécharge une fois, puis exécute localement, sur votre propre processeur. Il n’y a dans le code de ce site aucun point de terminaison d’envoi que le contenu d’un fichier pourrait atteindre, parce qu’aucun n’a jamais été écrit.

C’est une affirmation étroite, et elle l’est à dessein. Elle porte sur vos fichiers. Elle ne prétend pas que la page n’effectue aucune requête réseau — la section ci-dessous sur ce que le site envoie réellement les énumère, car une page qui les cacherait ne mériterait pas non plus d’être crue sur la première affirmation.

Vérifiez vous-même : l’onglet « Réseau »

Ouvrez n’importe quel outil de ce site. Avant de convertir quoi que ce soit, appuyez sur F12 (ou Cmd+Option+I sur un Mac) pour ouvrir les outils de développement, puis sélectionnez l’onglet « Réseau ». Cochez « Conserver le journal » si l’option est proposée.

Déposez maintenant un fichier et convertissez-le. Observez la liste. Vous verrez le module WebAssembly de ce format se télécharger la première fois — un fichier comme heic_bg.wasm, venant de ce domaine — et vous ne verrez rien transporter votre fichier dans l’autre sens. Triez par taille, ou filtrez la liste sur Fetch/XHR : un envoi devrait obligatoirement apparaître comme une requête dont la charge utile pèse le poids de votre fichier, et il n’existe aucun moyen d’en cacher une à ce panneau.

Cette absence est tout l’intérêt. Un convertisseur qui envoie des fichiers ne peut pas le dissimuler ici, parce que le navigateur rapporte chaque requête qu’une page effectue, y compris celles qu’une page préférerait que vous ne voyiez pas.

La vérification la plus forte : coupez votre réseau

L’onglet « Réseau » montre ce que la page a fait. Ceci montre ce dont elle est capable. Chargez n’importe quelle page d’outil, puis déconnectez-vous du Wi-Fi ou activez le mode Avion, et convertissez un fichier. Cela fonctionne toujours.

Une réserve, et elle est honnête : la première conversion d’un format donné doit récupérer le module WebAssembly de ce format ; effectuez donc une conversion en étant connecté avant de passer hors ligne, sinon le module ne sera pas encore dans le cache. Après cela, la machine est entièrement locale, et rester hors ligne le démontre comme aucune promesse ne le pourrait.

La vérification que vous n’avez pas à faire vous-même

Chaque page de ce site est servie avec un en-tête Content Security Policy (CSP) : une liste — appliquée par votre navigateur, pas par nous — des seuls endroits où cette page a le droit d’envoyer quoi que ce soit. Vous pouvez lire la nôtre dans les en-têtes de réponse de n’importe quelle page, dans ce même onglet « Réseau ».

C’est important parce qu’il ne s’agit pas d’une promesse, mais d’une contrainte. Si le JavaScript de ce site tentait d’envoyer votre photo à un serveur absent de cette liste, votre navigateur refuserait la requête et enregistrerait une violation. C’est cette politique qui rend « rien n’est envoyé » vérifiable par une machine, au lieu d’être simplement crédible par réputation.

Ce que le site envoie réellement

Être transparent là-dessus est le but de cette page. Sur le site en production, privatetoolkit.org charge Google Analytics, qui signale qu’une page a été consultée et, approximativement, depuis quelle région du monde. Il est configuré avec Google Signals et la personnalisation des annonces désactivés l’un comme l’autre. Il sait qu’une page a eu un visiteur ; il ne reçoit rien, et ne pourrait rien recevoir, sur vos fichiers, parce que le code de conversion et le code de mesure ne se touchent jamais.

Le site comporte aussi un emplacement publicitaire, entièrement désactivé au moment où ces lignes sont écrites — aucun script publicitaire n’est chargé. S’il est réactivé, ce sera une seule bannière d’une seule régie, et elle sera signalée comme publicité.

C’est la liste complète. Aucun système de compte, aucun cookie de notre part au-delà de ce que la mesure d’audience dépose, aucun stockage de fichiers — et rien à stocker, puisque vos fichiers n’arrivent jamais.

Ce que cette conception vous coûte

Il serait malhonnête de présenter « s’exécute sur votre appareil » comme gratuit. C’est votre processeur qui fait le travail : une longue vidéo prend un temps réel, et un très gros fichier a besoin d’assez de mémoire pour le contenir ; une ferme de serveurs irait plus vite. Certaines conversions qu’un serveur pourrait faire sont tout simplement impossibles dans un navigateur.

Et un changement de conteneur change le conteneur, pas le codec. Une vidéo HEVC venant d’un iPhone devient un MP4 qui ne se lira toujours pas sur une machine sans décodeur HEVC. Nous le disons quand cela se produit, au lieu d’annoncer un succès dont vous découvririez plus tard qu’il ne sert à rien.

Questions fréquentes

Puis-je vraiment vérifier cela moi-même, sans être développeur ?

Oui. La vérification par l’onglet « Réseau » consiste à ouvrir un panneau et à regarder une liste — vous vérifiez si quelque chose s’y trouve, vous ne lisez pas de code. La vérification hors ligne demande encore moins que cela : coupez le Wi-Fi et regardez si l’outil fonctionne toujours.

Mes fichiers sont-ils supprimés après la conversion ?

Il n’y a rien à supprimer. Les fichiers n’atteignent jamais un serveur, il n’en existe donc aucune copie, nulle part, que nous pourrions conserver ou effacer. La plupart des convertisseurs répondent à cette question par une durée de conservation ; ici, la réponse honnête est que la question ne se pose pas.

Y a-t-il une limite de taille de fichier ?

Aucune que nous imposions. La limite pratique est la mémoire de votre propre appareil, puisque le fichier y est conservé pendant la conversion. Rien n’est plafonné pour des raisons de facturation, parce qu’une conversion ne nous coûte rien.

Cela fonctionne-t-il hors ligne ?

Oui, une fois le module WebAssembly du format voulu récupéré. Convertissez un fichier de ce type en étant en ligne ; ensuite, l’outil continue de fonctionner réseau coupé.

Comment savoir si le module WebAssembly lui-même n’envoie pas mon fichier quelque part ?

La même Content Security Policy le couvre — il s’exécute à l’intérieur de la page et est soumis à la même liste de destinations autorisées, appliquée par le navigateur. Tout ce qu’il tenterait d’envoyer ailleurs serait bloqué par votre navigateur et enregistré comme une violation.