ความปลอดภัย

หน้านี้เขียนขึ้นสำหรับคนที่ต้องเป็นผู้อนุมัติให้ใช้เว็บนี้ ไม่ใช่สำหรับคนที่อยากใช้งาน จึงเขียนให้สั้น และทุกข้อในนี้ตรวจสอบได้จากภายนอกโดยไม่ต้องถามเรา

เครื่องมือทำอะไรกับไฟล์ของคุณ

ไม่มีเครื่องมือใดบนเว็บนี้อัปโหลดไฟล์ ทุกตัวอ่านไฟล์ผ่าน API ของเบราว์เซอร์เอง ทำงานภายในหน้าเว็บ แล้วส่งผลลัพธ์กลับมาเป็นไฟล์ดาวน์โหลด ไม่มีปลายทางให้ส่งไฟล์ไปหา เพราะไม่มีโค้ดฝั่งเซิร์ฟเวอร์อยู่เลย เว็บนี้เป็นไฟล์สแตติกที่วางอยู่หลัง CDN

ข้อนี้ตรวจสอบได้ ไม่ต้องเชื่อ เปิดเครื่องมือนักพัฒนาในเบราว์เซอร์ ไปที่แท็บ Network แล้วลองใช้เครื่องมือใดก็ได้ ไฟล์ที่คุณเลือกจะไม่ปรากฏในรายการ

Content Security Policy ที่เราส่ง

นโยบายความปลอดภัยของเว็บกำหนด connect-src ‘none’ เบราว์เซอร์จึงบล็อกการเรียกเครือข่ายจากหน้านี้ นี่คือ header จริงที่เว็บส่งกลับทุกหน้า และถูกสร้างจากแหล่งเดียวกับหน้าที่คุณกำลังอ่าน จึงไม่มีทางคลาดเคลื่อนจากสิ่งที่เซิร์ฟเวอร์ส่งจริง

default-src 'self';
script-src 'self';
style-src 'self';
img-src 'self' data:;
font-src 'self';
worker-src 'self';
connect-src 'none';
frame-ancestors 'none';
form-action 'none';
base-uri 'none';
object-src 'none'

ตรวจเองได้ด้วย curl -I https://lightutils.com/ หรือดูใน response header ของหน้าใดก็ได้ในแท็บ Network

อะไรทำงานอยู่ในหน้าเว็บ

• ไม่มีระบบวิเคราะห์การใช้งาน ไม่มี tag manager ไม่มีตัวบันทึกเซสชัน ไม่มี heatmap ไม่มีสคริปต์ทดสอบ A/B
• ไม่มีฟอนต์ สคริปต์ หรือสไตล์ชีตจากโฮสต์อื่น script-src 'self' และ style-src 'self' ทำให้เรื่องนี้ถูกบังคับใช้จริง ไม่ใช่แค่คำสัญญา
• ไม่มีเครื่องมือใดตั้งคุกกี้ พื้นที่จัดเก็บที่ใช้มีเพียงค่าเดียว ที่บันทึกว่าคุณปิดแถบแจ้งเตือนคุกกี้ไปแล้ว และภาษาที่คุณเลือกไว้ล่าสุด
• ไม่มีบัญชีผู้ใช้ ไม่มีการเข้าสู่ระบบ ไม่มีการเก็บอีเมล

โค้ดทำงานที่ไหน

ทั้งหมดเป็นโมดูล JavaScript ธรรมดาที่เสิร์ฟจากโดเมนนี้ ไม่มี bundler และไม่มี dependency ตอนรันจาก package registry ใด ๆ จึงไม่มีโค้ดของบุคคลที่สามอยู่ในหน้าเว็บ และไม่มีห่วงโซ่อุปทานให้ต้องตรวจสอบนอกเหนือจากตัวเบราว์เซอร์เอง บางเครื่องมือใช้ Web Worker ซึ่งก็เสิร์ฟจากโดเมนนี้เช่นกัน

เครื่องมือสองตัวใช้ WebCodecs ซึ่งเป็นตัวเข้าและถอดรหัสวิดีโอของเบราว์เซอร์เอง เป็นชิ้นส่วนเดียวกับที่เบราว์เซอร์ใช้เล่นวิดีโอ และทำงานในเครื่องคุณ

อะไรออกจากเบราว์เซอร์ของคุณบ้าง

ตัวหน้าเว็บ สไตล์ชีต สคริปต์ และรูปภาพของมัน ซึ่งถูกดึงจากโดเมนนี้ตอนที่คุณเปิดหน้า เท่านั้น ไม่มีเครื่องมือใดส่งอะไรออกไป และนโยบายข้างบนป้องกันไว้ต่อให้โค้ดพยายามจะส่ง

ถ้าเรื่องนี้เปลี่ยนไป

เรามีแผนจะแสดงโฆษณา ซึ่งจะต้องอนุญาตให้สคริปต์ของผู้ให้บริการโฆษณาและการเรียกเครือข่ายของมันทำงานได้ ถ้าถึงวันนั้น นโยบายที่พิมพ์ไว้ข้างบนจะเปลี่ยนตาม และหน้านี้จะเปลี่ยนเองอัตโนมัติ เพราะทั้งสองอย่างถูกสร้างจากคำนิยามเดียวกัน แต่ไฟล์ที่คุณประมวลผลจะยังไม่ถูกอัปโหลดอยู่ดี เพราะนั่นเป็นคุณสมบัติของวิธีที่เครื่องมือถูกสร้าง ไม่ใช่ของตัวนโยบาย

แจ้งปัญหาด้านความปลอดภัย

ถ้าพบช่องโหว่ กรุณาเขียนมาที่ privacy@lightutils.com โปรดใส่รายละเอียดที่มากพอจะทำซ้ำได้ เราไม่มีโครงการให้รางวัลเป็นเงิน