Безопасен ли этот JSON-форматтер для конфиденциальных данных?

Документы обрабатываются локально, вставленный текст не загружается на сервер. Но вам всё равно нужно доверять загруженному коду, своему браузеру и расширениям. Для секретов проверьте запросы, используйте проверенную офлайн-вкладку и после работы очистите локальное хранилище.

Использует ли сайт аналитику?

Да. Vercel Web Analytics собирает телеметрию страниц. Обёртка удаляет фрагменты URL, и в приложении нет настроенного события, которое отправляло бы содержимое редактора. Запросы аналитики не связаны с локальной обработкой JSON.

От чего защищает Content Security Policy?

CSP страницы запрещает встраивание во фреймы, ограничивает базовые URL этим источником и блокирует встроенные объекты. Директив script-src и connect-src в ней нет, поэтому она не ограничивает все скрипты и сетевые адреса.

Сохранится ли мой JSON после закрытия вкладки?

Отредактированные документы размером до 2 500 000 символов могут сохраняться в localStorage этого браузера вместе с текстом для сравнения и настройками. На общих устройствах очищайте данные сайта. Простое посещение страницы инструмента с готовым примером не заменяет сохранённый документ главной страницы.

Можно ли вставлять JWT или API-ключи?

Сначала проверьте работу офлайн на безобидном примере, а для секретов используйте офлайн-вкладку. Расширения с доступом к странице всё равно могут прочитать содержимое редактора. Декодированный JWT — это не проверенный токен, а утёкший ключ нужно отозвать.

Безопасный JSON-форматтер с локальной обработкой

Как пользоваться инструментом

Откройте DevTools и выберите вкладку «Сеть» (Network). Дождитесь полной загрузки страницы и очистите список запросов.
Вставьте безобидный JSON с уникальной меткой, например network-check-7, и измените какое-нибудь значение. Форматтер должен обновить результат без запроса, содержащего эту метку.
Изучите все новые запросы, особенно их вкладки «Полезная нагрузка» (Payload). Проверьте и фильтр Fetch/XHR, и «Все» (All): аналитика может использовать beacon-запросы. С небольшим примером это занимает около 30 секунд.

Пример с разбором

Тот же локальный форматтер выдаёт этот результат онлайн или после того, как ресурсы приложения закешированы для работы офлайн.

Ввод

{"user-id":42,"display name":"Ada","class":true,"profile":{"city":"London","created_at":"2026-10-14T09:00:00Z"},"items":[{"sku":"A1","price":12,"note":null},{"sku":"B2","price":12.5,"note":"gift"}],"metadata":null}

Результат

{
  "user-id": 42,
  "display name": "Ada",
  "class": true,
  "profile": {
    "city": "London",
    "created_at": "2026-10-14T09:00:00Z"
  },
  "items": [
    {
      "sku": "A1",
      "price": 12,
      "note": null
    },
    {
      "sku": "B2",
      "price": 12.5,
      "note": "gift"
    }
  ],
  "metadata": null
}

Что защищает локальная обработка в браузере

Форматтер, который загружает JSON на сервер, даёт этому серверу доступ к документу. Здесь разбор и форматирование выполняет код парсера в браузере, а файлы для скачивания создаются локальными браузерными API. В обычном сценарии со вставкой нет запроса, который передавал бы документ.

Проверка во вкладке «Сеть», описанная выше, подтверждает поведение только текущей сессии. Она не доказывает, что будут делать все будущие версии. Если данные того требуют, повторяйте её после обновлений.

Аналитика и сторонние запросы

Сайт использует Vercel Web Analytics для учёта просмотров страниц, а не содержимого документов. В продакшене скрипт аналитики загружается с /_vercel/insights/script.js с этого же источника и отправляет телеметрию страниц через /_vercel/insights. Обёртка приложения удаляет фрагменты URL перед отправкой событий. Не помещайте секреты в пути URL и параметры запроса.

Шрифт для кода размещается на самом сайте ещё на этапе сборки, поэтому при работе со страницей шрифт у Google не запрашивается. Аудит исходного кода не нашёл других интеграций аналитики. Исключение из обычного локального сценария — загрузка по удалённому URL, которую запрашивает сам пользователь.

Фактические заголовки безопасности

Content-Security-Policy страницы приведена ниже. Она запрещает встраивать страницу во фрейм, менять её базовый URL на другой источник и загружать содержимое object/embed. Директивы script-src, default-src и connect-src для страниц не заданы.

Среди других настроенных заголовков есть X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin и Permissions-Policy, отключающая камеру, микрофон, геолокацию, платежи и USB. У ответа сервис-воркера отдельная, более строгая CSP.

frame-ancestors 'none'; base-uri 'self'; object-src 'none'

Работа с JWT, API-ключами и сохранёнными документами

Отключите ненужные расширения с доступом к странице. Прежде чем вставлять токен или ключ, убедитесь, что кешированное приложение работает с отключённой сетью. Не помещайте секреты в ссылки для общего доступа, на скриншоты и в параметры URL в браузере.

Правки пользователя могут оставаться в localStorage, а это не зашифрованное хранилище секретов. После работы с конфиденциальными данными закройте другие вкладки Tool Kumar и очистите локальное хранилище сайта, хранилище кеша и сервис-воркер в настройках данных сайта браузера.

Используйте JWT-декодер, чтобы изучить claims, а подписи проверяйте в своём приложении. Если учётные данные уже раскрыты, отзовите или замените их: форматирование не отменяет утечку.

Параметры и особые случаи

Парсер, генераторы кода и создание файлов для скачивания работают локально. Открытие локального файла не загружает его на сервер.
Vercel Web Analytics фиксирует просмотры страниц. В продакшене его скрипт отдаётся с этого же источника по адресу /_vercel/insights/script.js, а телеметрия отправляется на /_vercel/insights; перед отправкой событий обёртка удаляет фрагменты URL. Событий с содержимым документа в коде не настроено.
Ссылка для общего доступа помещает JSON во фрагмент URL. Фрагмент не передаётся в HTTP-запросе, но любой, у кого есть полная ссылка, может прочитать документ. Не делитесь так секретами.
«Загрузить по URL» явно запрашивает выбранный эндпоинт из вашего браузера, и этот эндпоинт видит запрос. Ссылка с ?url= тоже может запустить удалённую загрузку; для конфиденциальной работы вставляйте данные или открывайте локальный файл.

Конфиденциальность по умолчанию

Документ остаётся в этом браузере. Tool Kumar разбирает и конвертирует данные, создаёт файлы для скачивания на вашем устройстве, без регистрации и отправки на сервер.

Вопросы об инструменте «Безопасный JSON-форматтер»

Безопасен ли этот JSON-форматтер для конфиденциальных данных?: Документы обрабатываются локально, вставленный текст не загружается на сервер. Но вам всё равно нужно доверять загруженному коду, своему браузеру и расширениям. Для секретов проверьте запросы, используйте проверенную офлайн-вкладку и после работы очистите локальное хранилище.
Использует ли сайт аналитику?: Да. Vercel Web Analytics собирает телеметрию страниц. Обёртка удаляет фрагменты URL, и в приложении нет настроенного события, которое отправляло бы содержимое редактора. Запросы аналитики не связаны с локальной обработкой JSON.
От чего защищает Content Security Policy?: CSP страницы запрещает встраивание во фреймы, ограничивает базовые URL этим источником и блокирует встроенные объекты. Директив script-src и connect-src в ней нет, поэтому она не ограничивает все скрипты и сетевые адреса.
Сохранится ли мой JSON после закрытия вкладки?: Отредактированные документы размером до 2 500 000 символов могут сохраняться в localStorage этого браузера вместе с текстом для сравнения и настройками. На общих устройствах очищайте данные сайта. Простое посещение страницы инструмента с готовым примером не заменяет сохранённый документ главной страницы.
Можно ли вставлять JWT или API-ключи?: Сначала проверьте работу офлайн на безобидном примере, а для секретов используйте офлайн-вкладку. Расширения с доступом к странице всё равно могут прочитать содержимое редактора. Декодированный JWT — это не проверенный токен, а утёкший ключ нужно отозвать.