¿Es seguro este formateador JSON para datos confidenciales?

Procesa los documentos localmente, sin subir lo que pegas. Aun así, debes confiar en el código que recibes, tu navegador y sus extensiones. Para trabajar con secretos, verifica las solicitudes, usa una pestaña cuyo funcionamiento sin conexión hayas comprobado y borra después el almacenamiento local.

¿El sitio usa analítica?

Sí. Vercel Web Analytics registra la telemetría de las páginas. La capa de integración elimina los fragmentos de URL y la aplicación no tiene ningún evento configurado que envíe el contenido del editor. Las solicitudes de analítica son independientes del procesamiento local del JSON.

¿Qué protege la política de seguridad de contenido?

La CSP de la página impide cargarla en marcos, restringe las URL base a este origen y bloquea los objetos incrustados. No tiene directivas script-src ni connect-src, así que no restringe todos los scripts ni todos los destinos de red.

¿Mi JSON permanece después de cerrar la pestaña?

Los documentos editados por el usuario de hasta 2,500,000 caracteres pueden persistir en localStorage de este navegador, junto con el texto de comparación y los ajustes. Borra los datos del sitio en dispositivos compartidos. Visitar una página con una configuración predefinida no sustituye por sí solo el documento guardado de la página de inicio.

¿Puedo pegar JWT o claves de API?

Usa primero un ejemplo sin datos sensibles para comprobar el funcionamiento sin conexión y después da preferencia a una pestaña sin conexión para trabajar con secretos. Las extensiones con acceso a la página pueden seguir leyendo el editor. Un JWT decodificado no es un token verificado y una clave filtrada debe revocarse.

Formateador JSON seguro: procesamiento local en tu navegador

Cómo usar esta herramienta

Abre las herramientas de desarrollo y selecciona Red. Espera a que la página termine de cargar y borra después la lista de solicitudes.
Pega un JSON sin datos sensibles con un marcador único como network-check-7 y edita un valor. El formateador debería actualizarse sin que ninguna solicitud contenga ese marcador.
Inspecciona las solicitudes nuevas, en especial sus pestañas Carga útil. Comprueba tanto Fetch/XHR como Todo, porque la analítica puede usar solicitudes de tipo beacon. Esto lleva unos 30 segundos con un ejemplo pequeño.

Ejemplo práctico

El mismo formateador local produce esta salida con conexión o después de guardar los recursos de la aplicación en caché para usarlos sin conexión.

Entrada

{"user-id":42,"display name":"Ada","class":true,"profile":{"city":"London","created_at":"2026-10-14T09:00:00Z"},"items":[{"sku":"A1","price":12,"note":null},{"sku":"B2","price":12.5,"note":"gift"}],"metadata":null}

Salida

{
  "user-id": 42,
  "display name": "Ada",
  "class": true,
  "profile": {
    "city": "London",
    "created_at": "2026-10-14T09:00:00Z"
  },
  "items": [
    {
      "sku": "A1",
      "price": 12,
      "note": null
    },
    {
      "sku": "B2",
      "price": 12.5,
      "note": "gift"
    }
  ],
  "metadata": null
}

Qué protege el procesamiento local en el navegador

Un formateador que sube JSON da acceso al documento a un servidor. Aquí, el análisis y el formato usan el código del analizador del navegador y las descargas generadas usan las API locales del navegador. El flujo habitual de pegar datos no incluye ninguna solicitud que contenga el documento.

La comprobación anterior en Red verifica la sesión actual. No demuestra lo que harán todas las versiones futuras. Repítela después de las actualizaciones cuando los datos requieran ese cuidado.

Analítica y solicitudes a terceros

El sitio usa Vercel Web Analytics para registrar las visitas a las páginas, no el contenido de los documentos. En producción, el script de analítica se carga desde /_vercel/insights/script.js en este mismo origen y envía telemetría de las páginas a través de /_vercel/insights. La capa de integración de la aplicación elimina los fragmentos de URL antes de enviar los eventos. Evita poner secretos en las rutas o en los parámetros de consulta de las URL.

La tipografía del código se prepara durante la compilación para servirla desde el propio sitio, por lo que usar esta página no solicita una fuente a Google. La auditoría del código fuente no encontró ninguna otra integración de analítica. La carga de una URL remota solicitada por el usuario es una excepción al flujo normal de entrada local.

Leer los encabezados de seguridad reales

A continuación se muestra la Content-Security-Policy de la página. Impide incrustar esta página en un marco, cambiar su URL base a otro origen y cargar contenido object/embed. No establece script-src, default-src ni connect-src en las páginas.

Otros encabezados configurados incluyen X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin y una Permissions-Policy que desactiva la cámara, el micrófono, la geolocalización, los pagos y USB. La respuesta del service worker tiene una CSP independiente y más estricta.

frame-ancestors 'none'; base-uri 'self'; object-src 'none'

Gestionar JWT, claves de API y documentos guardados

Desactiva las extensiones innecesarias que tengan acceso a la página. Confirma que la aplicación en caché funciona con la red desactivada antes de pegar un token o una clave. Mantén los secretos fuera de los enlaces para compartir, las capturas de pantalla y los parámetros de consulta de las URL del navegador.

Las ediciones del usuario pueden permanecer en localStorage, que no es un almacén cifrado de secretos. Cierra las otras pestañas de Tool Kumar y borra el almacenamiento local, el almacenamiento en caché y el service worker del sitio desde los ajustes de datos del sitio del navegador después de trabajar con información sensible.

Usa un decodificador JWT para inspeccionar los claims y verifica después las firmas en tu propia aplicación. Si una credencial ya se ha expuesto, revócala o renuévala; formatear no puede deshacer la divulgación.

Opciones y casos especiales

El analizador, los generadores de código y la creación de descargas se ejecutan localmente. Abrir un archivo local no lo sube.
Vercel Web Analytics registra las visitas a las páginas. En producción, su script se sirve desde este origen en /_vercel/insights/script.js y la telemetría usa /_vercel/insights; la capa de integración elimina los fragmentos de URL antes de enviar los eventos. El código no tiene configurados eventos que envíen el contenido de los documentos.
Un enlace para compartir coloca el JSON en el fragmento de la URL. El fragmento no se envía en una solicitud HTTP, pero cualquiera que tenga el enlace completo puede leer el documento. Evita compartir secretos.
Cargar desde URL solicita expresamente el endpoint elegido desde tu navegador. Ese endpoint recibe una solicitud. Un enlace ?url= también puede activar la carga remota; pega los datos o usa un archivo local para trabajar con información sensible.

Privado por defecto

Tu documento permanece en este navegador. Tool Kumar analiza, convierte y crea las descargas en tu dispositivo, sin cuenta ni pasos para subir archivos.

Preguntas sobre Formateador JSON seguro

¿Es seguro este formateador JSON para datos confidenciales?: Procesa los documentos localmente, sin subir lo que pegas. Aun así, debes confiar en el código que recibes, tu navegador y sus extensiones. Para trabajar con secretos, verifica las solicitudes, usa una pestaña cuyo funcionamiento sin conexión hayas comprobado y borra después el almacenamiento local.
¿El sitio usa analítica?: Sí. Vercel Web Analytics registra la telemetría de las páginas. La capa de integración elimina los fragmentos de URL y la aplicación no tiene ningún evento configurado que envíe el contenido del editor. Las solicitudes de analítica son independientes del procesamiento local del JSON.
¿Qué protege la política de seguridad de contenido?: La CSP de la página impide cargarla en marcos, restringe las URL base a este origen y bloquea los objetos incrustados. No tiene directivas script-src ni connect-src, así que no restringe todos los scripts ni todos los destinos de red.
¿Mi JSON permanece después de cerrar la pestaña?: Los documentos editados por el usuario de hasta 2,500,000 caracteres pueden persistir en localStorage de este navegador, junto con el texto de comparación y los ajustes. Borra los datos del sitio en dispositivos compartidos. Visitar una página con una configuración predefinida no sustituye por sí solo el documento guardado de la página de inicio.
¿Puedo pegar JWT o claves de API?: Usa primero un ejemplo sin datos sensibles para comprobar el funcionamiento sin conexión y después da preferencia a una pestaña sin conexión para trabajar con secretos. Las extensiones con acceso a la página pueden seguir leyendo el editor. Un JWT decodificado no es un token verificado y una clave filtrada debe revocarse.

Herramientas relacionadas

Formateador JSON sin conexión, Decodificador JWT, Formateador JSON y Estudio sobre la privacidad de los formateadores JSON.