Tool Kumar

Tool Kumar 도구

안전한 JSON 포맷터

Tool Kumar는 문서를 브라우저 안에서 파싱하고 포맷합니다. JSON을 붙여넣어도 서버로 제출되지 않으며 계정도 필요 없습니다. 다만 이 사이트는 Vercel Web Analytics를 사용하므로, 개인정보 보호에 관한 설명에서는 문서 처리와 페이지 원격 분석을 구분해야 합니다.

도구 사용 방법

  1. 개발자 도구를 열고 ‘네트워크(Network)’를 선택합니다. 페이지 로드가 끝날 때까지 기다린 뒤 요청 목록을 지웁니다.
  2. network-check-7 같은 고유한 표식이 들어간 무해한 JSON을 붙여넣고 값을 하나 편집합니다. 포맷터는 그 표식이 담긴 요청 없이 갱신되어야 합니다.
  3. 새로 생긴 요청이 있으면 살펴보고, 특히 ‘페이로드(Payload)’ 탭을 확인합니다. 분석 기능은 비콘 요청을 쓸 수 있으므로 ‘Fetch/XHR’과 ‘모두(All)’를 둘 다 확인합니다. 작은 샘플이면 30초 정도 걸립니다.

사용 예제

온라인일 때도, 애플리케이션 리소스가 오프라인용으로 캐시된 뒤에도 같은 로컬 포맷터가 이 출력을 만듭니다.

입력

{"user-id":42,"display name":"Ada","class":true,"profile":{"city":"London","created_at":"2026-10-14T09:00:00Z"},"items":[{"sku":"A1","price":12,"note":null},{"sku":"B2","price":12.5,"note":"gift"}],"metadata":null}

출력

{
  "user-id": 42,
  "display name": "Ada",
  "class": true,
  "profile": {
    "city": "London",
    "created_at": "2026-10-14T09:00:00Z"
  },
  "items": [
    {
      "sku": "A1",
      "price": 12,
      "note": null
    },
    {
      "sku": "B2",
      "price": 12.5,
      "note": "gift"
    }
  ],
  "metadata": null
}

브라우저 로컬 처리가 보호하는 것

JSON을 업로드하는 포맷터는 서버가 문서에 접근할 수 있게 합니다. 여기서는 파싱과 포맷에 브라우저의 파서 코드를 사용하고, 생성된 다운로드 파일은 로컬 브라우저 API로 만듭니다. 일반적인 붙여넣기 흐름에는 문서를 담아 보내는 요청이 없습니다.

위의 네트워크 확인은 현재 세션만 검증합니다. 앞으로 나올 모든 버전이 어떻게 동작할지까지 증명하지는 않습니다. 데이터의 민감도에 따라 업데이트 후에 다시 확인합니다.

분석과 제3자 요청

이 사이트는 Vercel Web Analytics로 페이지 조회를 기록하며, 문서 내용은 기록하지 않습니다. 프로덕션에서 분석 스크립트는 같은 출처의 /_vercel/insights/script.js에서 로드되고, 페이지 원격 분석 데이터는 /_vercel/insights로 전송됩니다. URL 프래그먼트는 이벤트를 보내기 전에 애플리케이션 래퍼가 제거합니다. URL 경로나 쿼리 매개변수에는 비밀 정보를 넣지 마십시오.

코드 글꼴은 빌드할 때 자체 호스팅되므로, 이 페이지를 사용해도 Google에 글꼴을 요청하지 않습니다. 소스 감사에서 다른 분석 연동은 발견되지 않았습니다. 사용자가 요청한 원격 URL 가져오기는 일반적인 로컬 입력 흐름의 예외입니다.

실제 보안 헤더 확인하기

페이지의 Content-Security-Policy는 아래와 같습니다. 이 정책은 페이지를 프레임에 삽입하는 것, base URL을 다른 출처로 바꾸는 것, object/embed 콘텐츠를 로드하는 것을 차단합니다. 페이지에는 script-src, default-src, connect-src가 설정되어 있지 않습니다.

그 밖에 설정된 헤더로는 X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, 그리고 카메라, 마이크, 위치 정보, 결제, USB를 비활성화하는 Permissions-Policy가 있습니다. 서비스 워커 응답에는 더 엄격한 별도의 CSP가 적용됩니다.

frame-ancestors 'none'; base-uri 'self'; object-src 'none'

JWT, API 키, 저장된 문서 다루기

페이지 접근 권한이 있는 확장 프로그램 중 필요 없는 것은 비활성화합니다. 토큰이나 키를 붙여넣기 전에 캐시된 앱이 네트워크 없이 동작하는지 확인합니다. 비밀 정보는 공유 링크, 스크린샷, 브라우저 URL 쿼리에 넣지 않습니다.

사용자가 편집한 내용은 localStorage에 남을 수 있으며, localStorage는 암호화된 비밀 정보 보관소가 아닙니다. 민감한 작업을 마친 뒤에는 다른 Tool Kumar 탭을 닫고, 브라우저의 사이트 데이터 설정에서 이 사이트의 로컬 저장소, 캐시 저장소, 서비스 워커를 삭제합니다.

JWT 디코더로 클레임을 확인하고, 서명은 직접 운영하는 애플리케이션에서 검증합니다. 자격 증명이 이미 노출되었다면 폐기하거나 교체해야 합니다. 포맷한다고 해서 노출된 사실이 되돌려지지는 않습니다.

옵션 및 예외 사항

  • 파서, 코드 생성기, 다운로드 파일 생성은 로컬에서 실행됩니다. 로컬 파일을 열어도 업로드되지 않습니다.
  • Vercel Web Analytics는 페이지 조회를 기록합니다. 프로덕션에서 이 스크립트는 같은 출처의 /_vercel/insights/script.js에서 제공되고, 원격 분석 데이터 전송에는 /_vercel/insights를 사용합니다. 래퍼는 이벤트를 보내기 전에 URL 프래그먼트를 제거합니다. 코드에는 문서 내용을 보내는 이벤트가 설정되어 있지 않습니다.
  • 공유 링크는 JSON을 URL 프래그먼트에 담습니다. 프래그먼트는 HTTP 요청으로 전송되지 않지만, 전체 링크를 가진 사람은 누구나 문서를 읽을 수 있습니다. 비밀 정보는 공유하지 마십시오.
  • ‘URL에서 불러오기’는 선택한 엔드포인트를 브라우저에서 명시적으로 가져오므로, 그 엔드포인트는 요청을 받게 됩니다. ?url= 링크도 원격 불러오기를 일으킬 수 있으므로, 민감한 작업에는 붙여넣기나 로컬 파일을 사용합니다.

개인정보 보호 기본 적용

문서는 이 브라우저에만 보관됩니다. Tool Kumar는 기기 안에서 파싱, 변환, 다운로드 파일 생성을 처리하며 계정이나 업로드 과정이 필요하지 않습니다.

안전한 JSON 포맷터 자주 묻는 질문

이 JSON 포맷터는 기밀 데이터에도 안전한가요?
문서는 로컬에서 처리되며 붙여넣은 내용은 업로드되지 않습니다. 그래도 전달된 코드, 브라우저, 확장 프로그램은 신뢰할 수 있어야 합니다. 비밀 정보라면 요청을 직접 확인하고, 테스트를 마친 오프라인 탭을 사용하며, 작업이 끝나면 로컬 저장소를 지웁니다.
이 사이트는 분석 도구를 사용하나요?
네. Vercel Web Analytics가 페이지 원격 분석 데이터를 기록합니다. 래퍼는 URL 프래그먼트를 제거하며, 애플리케이션에는 편집기 내용을 보내도록 설정된 이벤트가 없습니다. 분석 요청은 로컬 JSON 처리와 별개입니다.
콘텐츠 보안 정책(CSP)은 무엇을 보호하나요?
페이지 CSP는 프레임 삽입을 차단하고, base URL을 이 출처로 제한하며, 임베디드 객체를 차단합니다. script-src나 connect-src 지시문은 없으므로 모든 스크립트나 네트워크 대상을 제한하지는 않습니다.
탭을 닫은 뒤에도 JSON이 남아 있나요?
사용자가 편집한 문서는 2,500,000자까지 비교 텍스트, 설정과 함께 이 브라우저의 localStorage에 남을 수 있습니다. 공용 기기에서는 사이트 데이터를 삭제하십시오. 프리셋 페이지를 방문하는 것만으로는 저장된 홈페이지 문서가 바뀌지 않습니다.
JWT나 API 키를 붙여넣어도 되나요?
먼저 무해한 샘플로 오프라인 동작을 확인한 뒤, 비밀 정보에는 오프라인 탭을 사용하는 것이 좋습니다. 페이지에 접근할 수 있는 확장 프로그램은 여전히 편집기 내용을 읽을 수 있습니다. 디코딩된 JWT는 검증된 토큰이 아니며, 유출된 키는 폐기해야 합니다.

관련 도구

오프라인 JSON 포맷터, JWT 디코더, JSON 포맷터 및 JSON 포맷터 개인정보 보호 연구.