Ferramenta Tool Kumar
Formatador JSON seguro
O Tool Kumar analisa e formata seu documento no navegador. Colar JSON não o envia a um servidor, e você não precisa de conta. O site usa Vercel Web Analytics, então as afirmações de privacidade devem distinguir o processamento de documentos da telemetria de páginas.
Como usar esta ferramenta
- Abra o DevTools e selecione Network. Espere a página terminar de carregar e limpe a lista de requisições.
- Cole um JSON sem dados sensíveis com um marcador único, como network-check-7, e edite um valor. O formatador deve atualizar sem uma requisição que contenha esse marcador.
- Inspecione as novas requisições, especialmente suas abas Payload. Confira Fetch/XHR e All, pois analytics pode usar requisições beacon. Isso leva cerca de 30 segundos com um exemplo pequeno.
Exemplo prático
O mesmo formatador local produz esta saída online ou depois que os recursos da aplicação são salvos em cache para uso offline.
Entrada
{"user-id":42,"display name":"Ada","class":true,"profile":{"city":"London","created_at":"2026-10-14T09:00:00Z"},"items":[{"sku":"A1","price":12,"note":null},{"sku":"B2","price":12.5,"note":"gift"}],"metadata":null}Saída
{
"user-id": 42,
"display name": "Ada",
"class": true,
"profile": {
"city": "London",
"created_at": "2026-10-14T09:00:00Z"
},
"items": [
{
"sku": "A1",
"price": 12,
"note": null
},
{
"sku": "B2",
"price": 12.5,
"note": "gift"
}
],
"metadata": null
}O que o processamento local no navegador protege
Um formatador que envia JSON dá a um servidor acesso ao documento. Aqui, a análise e a formatação usam o código do analisador no navegador, e os arquivos gerados para baixar usam APIs locais do navegador. O fluxo comum de colar conteúdo não faz nenhuma requisição que carregue o documento.
O teste de Network acima verifica a sessão atual. Ele não comprova o que todas as versões futuras farão. Repita-o depois de atualizações quando os dados exigirem esse cuidado.
Analytics e requisições a terceiros
O site usa Vercel Web Analytics para registrar visualizações de página, sem registrar o conteúdo dos documentos. Em produção, o script de analytics é carregado de /_vercel/insights/script.js nesta mesma origem e envia telemetria de páginas por /_vercel/insights. O código que envolve a integração remove os fragmentos de URL antes de enviar os eventos. Evite colocar segredos em caminhos de URL ou parâmetros de consulta.
A fonte usada no código é preparada durante o build para ser hospedada no próprio site, então usar esta página não faz uma requisição de fonte ao Google. A auditoria do código-fonte não encontrou outra integração de analytics. Uma busca de URL remota solicitada pelo usuário é uma exceção ao fluxo normal de entrada local.
Leia os cabeçalhos de segurança efetivos
A Content-Security-Policy da página aparece abaixo. Ela impede incorporar esta página em um frame, alterar sua URL base para outra origem e carregar conteúdo object/embed. Ela não define script-src, default-src nem connect-src nas páginas.
Outros cabeçalhos configurados incluem X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin e uma Permissions-Policy que desativa câmera, microfone, geolocalização, pagamento e USB. A resposta do service worker tem uma CSP separada e mais restritiva.
frame-ancestors 'none'; base-uri 'self'; object-src 'none'Cuide de JWTs, chaves de API e documentos salvos
Desative extensões desnecessárias com acesso à página. Confirme que o app em cache funciona com a rede desativada antes de colar um token ou uma chave. Mantenha segredos fora de links de compartilhamento, capturas de tela e parâmetros de consulta de URLs no navegador.
As edições do usuário podem permanecer no localStorage, que não é um cofre criptografado para segredos. Feche outras abas do Tool Kumar e limpe o armazenamento local, o armazenamento em cache e o service worker do site pelas configurações de dados do site no navegador depois de trabalhar com dados sensíveis.
Use um decodificador JWT para inspecionar claims e depois verifique as assinaturas na sua própria aplicação. Se uma credencial já foi exposta, revogue-a ou faça sua rotação. A formatação não pode desfazer a exposição.
Opções e casos especiais
- O analisador, os geradores de código e a criação de arquivos para baixar são executados localmente. Abrir um arquivo local não o envia ao servidor.
- Vercel Web Analytics registra visualizações de página. Em produção, seu script é servido nesta origem em /_vercel/insights/script.js, e a telemetria usa /_vercel/insights. O código que envolve a integração remove fragmentos de URL antes de enviar eventos. Não há eventos de conteúdo de documentos configurados no código.
- Um link de compartilhamento coloca o JSON no fragmento da URL. O fragmento não é enviado em uma requisição HTTP, mas qualquer pessoa com o link completo pode ler o documento. Evite compartilhar segredos.
- “Carregar de URL” busca explicitamente o endpoint escolhido no seu navegador. Esse endpoint recebe uma requisição. Um link ?url= também pode acionar o carregamento remoto. Para dados sensíveis, cole o conteúdo ou use um arquivo local.
Privado por padrão
Seu documento fica neste navegador. O Tool Kumar analisa, converte e cria downloads no seu dispositivo, sem conta e sem envio ao servidor.
Formatador JSON seguro: perguntas frequentes
- Este formatador JSON é seguro para dados confidenciais?
- Ele processa documentos localmente, sem enviar o conteúdo colado ao servidor. Você ainda precisa confiar no código entregue, no navegador e nas extensões. Para segredos, verifique as requisições, use uma aba offline já testada e limpe o armazenamento local depois.
- O site usa analytics?
- Sim. Vercel Web Analytics registra telemetria de páginas. O código que envolve a integração remove os fragmentos de URL, e a aplicação não tem evento configurado que envie o conteúdo do editor. As requisições de analytics são separadas do processamento local de JSON.
- O que a Content Security Policy protege?
- A CSP da página impede sua exibição em frames, restringe URLs base a esta origem e bloqueia objetos incorporados. Ela não tem diretiva script-src nem connect-src, portanto não restringe todos os scripts ou destinos de rede.
- Meu JSON permanece depois que fecho a aba?
- Documentos editados pelo usuário com até 2.500.000 caracteres podem permanecer no localStorage deste navegador, junto com o texto de comparação e as configurações. Limpe os dados do site em dispositivos compartilhados. Apenas visitar uma página com exemplo predefinido não substitui o documento salvo da página inicial.
- Posso colar JWTs ou chaves de API?
- Use um exemplo sem dados sensíveis para verificar primeiro o funcionamento offline e depois prefira uma aba offline para segredos. Extensões com acesso à página ainda podem ler o editor. Um JWT decodificado não é um token verificado, e uma chave vazada deve ser revogada.
Ferramentas relacionadas
Formatador JSON offline, Decodificar JWT, Formatador JSON e Estudo sobre a privacidade de formatadores JSON.