Tool Kumar

Outil Tool Kumar

Formateur JSON sécurisé

Tool Kumar analyse et formate votre document dans le navigateur. Coller du JSON ne l'envoie pas à un serveur, et aucun compte n'est nécessaire. Le site utilise toutefois Vercel Web Analytics : les affirmations sur la confidentialité doivent donc distinguer le traitement du document de la télémétrie des pages.

Utiliser cet outil

  1. Ouvrez les outils de développement et sélectionnez « Réseau ». Attendez la fin du chargement de la page, puis effacez la liste des requêtes.
  2. Collez du JSON sans données sensibles avec un marqueur unique comme network-check-7, puis modifiez une valeur. Le formateur devrait se mettre à jour sans qu'une requête contienne ce marqueur.
  3. Examinez les nouvelles requêtes, en particulier leurs onglets « Charge utile ». Vérifiez à la fois Fetch/XHR et « Tout », car la mesure d'audience peut utiliser des requêtes beacon. Cela prend environ 30 secondes avec un petit exemple.

Exemple détaillé

Le même formateur local produit cette sortie en ligne ou une fois les ressources de l'application mises en cache pour une utilisation hors ligne.

Entrée

{"user-id":42,"display name":"Ada","class":true,"profile":{"city":"London","created_at":"2026-10-14T09:00:00Z"},"items":[{"sku":"A1","price":12,"note":null},{"sku":"B2","price":12.5,"note":"gift"}],"metadata":null}

Sortie

{
  "user-id": 42,
  "display name": "Ada",
  "class": true,
  "profile": {
    "city": "London",
    "created_at": "2026-10-14T09:00:00Z"
  },
  "items": [
    {
      "sku": "A1",
      "price": 12,
      "note": null
    },
    {
      "sku": "B2",
      "price": 12.5,
      "note": "gift"
    }
  ],
  "metadata": null
}

Ce que protège le traitement dans le navigateur

Un formateur qui envoie du JSON à un serveur donne à celui-ci accès au document. Ici, l'analyse et le formatage utilisent le code de l'analyseur dans le navigateur, et les fichiers à télécharger sont générés avec les API locales du navigateur. Le parcours habituel par collage n'émet aucune requête contenant le document.

La vérification dans « Réseau » décrite ci-dessus porte sur la session en cours. Elle ne prouve pas le comportement de toutes les versions futures. Répétez-la après les mises à jour si la sensibilité des données le justifie.

Mesure d'audience et requêtes tierces

Le site utilise Vercel Web Analytics pour enregistrer les pages vues, pas le contenu des documents. En production, le script de mesure d'audience est chargé depuis /_vercel/insights/script.js sur cette même origine et envoie la télémétrie des pages via /_vercel/insights. Le code d'intégration de l'application supprime les fragments d'URL avant l'envoi des événements. Évitez de placer des secrets dans les chemins d'URL ou les paramètres de requête.

La police du code est intégrée aux ressources hébergées par le site lors de la compilation. Utiliser cette page ne déclenche donc pas de requête de police vers Google. L'audit du code source n'a trouvé aucune autre intégration de mesure d'audience. Le chargement d'une URL distante demandé par l'utilisateur constitue une exception au fonctionnement habituel avec une entrée locale.

Lire les en-têtes de sécurité effectivement utilisés

La politique Content-Security-Policy de la page est présentée ci-dessous. Elle bloque l'intégration de cette page dans un cadre, le changement de son URL de base vers une autre origine et le chargement de contenu object/embed. Elle ne définit aucune directive script-src, default-src ou connect-src sur les pages.

Les autres en-têtes configurés comprennent X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin et une Permissions-Policy qui désactive la caméra, le microphone, la géolocalisation, le paiement et l'USB. La réponse du service worker possède une CSP distincte et plus stricte.

frame-ancestors 'none'; base-uri 'self'; object-src 'none'

Gérer les JWT, les clés d'API et les documents enregistrés

Désactivez les extensions inutiles ayant accès à la page. Vérifiez que l'application mise en cache fonctionne avec le réseau désactivé avant de coller un jeton ou une clé. Ne placez pas de secrets dans les liens de partage, les captures d'écran ou les paramètres des URL du navigateur.

Les modifications de l'utilisateur peuvent rester dans localStorage, qui n'est pas un coffre-fort chiffré pour les secrets. Après avoir travaillé sur des données sensibles, fermez les autres onglets Tool Kumar et effacez le stockage local, le stockage du cache et le service worker du site dans les paramètres de données des sites du navigateur.

Utilisez un décodeur JWT pour examiner les revendications, puis vérifiez les signatures dans votre propre application. Si des informations d'authentification ont déjà été exposées, révoquez-les ou renouvelez-les ; le formatage ne peut pas annuler leur divulgation.

Options et cas limites

  • L'analyseur, les générateurs de code et la création des fichiers à télécharger s'exécutent en local. Ouvrir un fichier local ne l'envoie pas au serveur.
  • Vercel Web Analytics enregistre les pages vues. En production, son script est servi depuis cette origine à l'adresse /_vercel/insights/script.js, et la télémétrie utilise /_vercel/insights ; le code d'intégration supprime les fragments d'URL avant l'envoi des événements. Aucun événement portant sur le contenu des documents n'est configuré dans le code.
  • Un lien de partage place le JSON dans le fragment d'URL. Ce fragment n'est pas envoyé dans une requête HTTP, mais toute personne possédant le lien complet peut lire le document. Évitez de partager des secrets.
  • « Charger depuis une URL » appelle explicitement le point de terminaison choisi depuis votre navigateur. Ce point de terminaison reçoit une requête. Un lien ?url= peut aussi déclencher un chargement distant ; collez les données ou ouvrez un fichier local pour les données sensibles.

Privé par défaut

Votre document reste dans ce navigateur. Tool Kumar analyse, convertit et crée les téléchargements sur votre appareil, sans compte ni étape d'envoi au serveur.

Formateur JSON sécurisé : questions fréquentes

Ce formateur JSON convient-il aux données confidentielles ?
Il traite les documents en local, sans envoyer le contenu collé au serveur. Vous devez néanmoins faire confiance au code fourni, à votre navigateur et à ses extensions. Pour les secrets, vérifiez les requêtes, utilisez un onglet hors ligne testé et effacez ensuite le stockage local.
Le site utilise-t-il un outil de mesure d'audience ?
Oui. Vercel Web Analytics enregistre la télémétrie des pages. Le code d'intégration supprime les fragments d'URL, et aucun événement configuré dans l'application n'envoie le contenu des éditeurs. Les requêtes de mesure d'audience sont distinctes du traitement local du JSON.
Que protège la politique de sécurité du contenu ?
La CSP de la page bloque son intégration dans un cadre, limite les URL de base à cette origine et bloque les objets intégrés. Elle ne comporte aucune directive script-src ou connect-src ; elle ne restreint donc pas tous les scripts ni toutes les destinations réseau.
Mon JSON reste-t-il enregistré après la fermeture de l'onglet ?
Les documents modifiés par l'utilisateur jusqu'à 2 500 000 caractères peuvent persister dans le localStorage de ce navigateur, avec le texte de comparaison et les réglages. Effacez les données du site sur les appareils partagés. La simple visite d'une page prédéfinie ne remplace pas le document enregistré de la page d'accueil.
Puis-je coller des JWT ou des clés d'API ?
Vérifiez d'abord le fonctionnement hors ligne avec un exemple sans données sensibles, puis privilégiez un onglet hors ligne pour les secrets. Les extensions ayant accès à la page peuvent toujours lire l'éditeur. Un JWT décodé n'est pas un jeton vérifié, et une clé divulguée doit être révoquée.

Outils associés

Formateur JSON hors ligne, Décodeur JWT, Formateur JSON et Étude sur la confidentialité des formateurs JSON.