Cómo comprobar que tus archivos no salen de tu dispositivo

1. 1

   Abrí la herramienta que quieras probar y usala una vez con cualquier archivo (así el navegador termina de descargar el programa de esa herramienta).

2. 2

   Desconectá el Wi-Fi o activá el modo avión. No cierres la pestaña.

3. 3

   Volvé a subir un archivo y procesalo. Va a funcionar exactamente igual y vas a poder descargar el resultado.

Si el archivo tuviera que viajar a un servidor, sin conexión no habría resultado. Es la prueba más simple y la más contundente. (En “Quitar fondo”, el modelo de inteligencia artificial se descarga la primera vez; después también funciona sin conexión.)

1. 1

   Abrí la herramienta y presioná F12 (o clic derecho → Inspeccionar). Se abre el panel de desarrollador.

2. 2

   Entrá a la pestaña “Red” (“Network” en inglés) y dejala abierta.

3. 3

   Subí tu archivo y procesalo. Cada línea que aparece es algo que el navegador pidió o envió.

4. 4

   Fijate en la columna “Método”: casi todo son GET (el navegador PIDE archivos del sitio: programas, íconos). Tu archivo no aparece por ningún lado.

5. 5

   Vas a ver un único POST, a /api/usos: es el contador de veces que se usó la herramienta. Hacé clic encima y abrí “Carga útil” (“Payload”): dice exactamente esto, y nada más → {"h":"extracto-bbva"}. Son 30 bytes con el nombre de la herramienta. Ni el contenido, ni el nombre, ni el tamaño de tu archivo.

Ese es el punto: un archivo de varios megas que se subiera aparecería ahí, sí o sí, con su tamaño. Lo único que sale de la página pesa 30 bytes y lo podés leer entero de un vistazo.

1. 1

   En la misma pestaña “Red”, hacé clic en la primera línea (el documento de la página) y abrí “Encabezados” (“Headers”).

2. 2

   Buscá en la respuesta la línea Content-Security-Policy.

3. 3

   Buscá dentro de esa línea la parte que dice connect-src: ahí está, enumerada, la lista COMPLETA de lugares a los que el código de la página tiene permitido conectarse. Cualquier destino que no esté en esa lista lo bloquea el navegador antes de que salga, aunque el código lo intentara.

4. 4

   La lista empieza con 'self' (nuestro propio dominio), blob: y data: (que no son servidores: son objetos en la memoria de tu propia pestaña, los que usan las herramientas para trabajar).

5. 5

   Después vienen, con nombre y apellido, los únicos tres destinos de afuera, y ninguno recibe archivos.

Los tres: staticimgly.com, de donde la herramienta “Quitar fondo” DESCARGA su modelo de inteligencia artificial (descarga, no envío); api.web3forms.com, a donde viaja el formulario de contacto cuando vos lo mandás (tu nombre, tu mail y tu mensaje, nunca un archivo); y los dominios de Google AdSense, que muestran la publicidad. En nuestro propio dominio hay una sola dirección que recibe algo, /api/usos, y lo que recibe es el nombre de una herramienta para sumar uno al contador. Dirección que reciba archivos no hay ninguna: no existe en el código. Y la lista es la misma en todas las páginas, no una distinta por herramienta: así no depende de cómo llegaste hasta acá.

1. 1

   Todo el código del sitio es público, con licencia de software libre.

2. 2

   La lógica de cada herramienta está en components/tools/<herramienta>/logic.ts; los analizadores de bancos, en lib/extractos/.

3. 3

   Buscá “fetch(” o “XMLHttpRequest” en ese código: en la lógica de las herramientas no hay ninguna llamada de red. Lo único que se descarga son las librerías (leer Excel y PDF, generar Excel, decodificar imágenes) y el modelo de IA.

4. 4

   La única llamada propia del sitio está en lib/contador.ts y manda el slug de la herramienta a /api/usos (el contador de usos). El archivo ni siquiera está al alcance de esa función.

Lo que se publica en el sitio es exactamente lo que está en el repositorio: cada cambio queda registrado con fecha.