Cómo verificar el procesamiento local de captura de pantalla a PDF en Browser DevTools
"Procesado localmente" debería ser comprobable. Una declaración de privacidad es útil, pero una herramienta de navegador también puede exponer evidencia observable: qué solicitudes de red ocurren, qué cargas útiles de solicitud contienen, cuándo se cargan los análisis opcionales y si una imagen cargada sale alguna vez del navegador.
Esta guía documenta la arquitectura actual de Screenshot PDF 0.0.13 y proporciona un procedimiento de DevTools reproducible. No es una prueba de penetración formal y un panel de red vacío no puede probar que todas las versiones futuras se comportarán igual. Registre la versión y repita la verificación después de cambios materiales.
¿Qué significa aquí el procesamiento local?
En el editor, el navegador lee la imagen seleccionada con FileReader, la decodifica en un elemento de imagen, dibuja píxeles en Canvas, crea instantáneas de anotaciones como URL de objetos locales y genera datos PDF con jsPDF. El contenido de las capturas de pantalla, los píxeles de anotaciones, el texto de las marcas de agua, las vistas previas y los bytes de PDF generados no se envían a un servidor de aplicaciones Screenshot PDF.
El sitio web en sí todavía requiere solicitudes de infraestructura normales para HTML, JavaScript, estilos, fuentes o imágenes. Cloudflare puede procesar metadatos de conexión, como la dirección IP y los encabezados de solicitud. Google Analytics opcional es una ruta separada y solo se carga después del consentimiento analítico. El procesamiento de documentos local no significa que la página no realice ninguna solicitud de red.
Prepare un archivo de prueba no confidencial
No comience una prueba de privacidad con un extracto bancario o una conversación privada. Cree un PNG sintético que contenga una cuadrícula de colores, una frase única y una dimensión conocida, como 1200 × 3000 píxeles. La frase única le ayuda a buscar cargas útiles de DevTools sin exponer información real.
Registre un hash del archivo de prueba si su sistema operativo proporciona uno. Un hash puede ayudar a distinguir la entrada de prueba exacta, aunque por sí solo no prueba dónde se procesó el archivo.
Abra DevTools antes de seleccionar el archivo
- Abra el editor de PDF de captura de pantalla en una pestaña nueva.
- Abra Chrome DevTools y seleccione Red.
- Habilite Conservar registro y deshabilite el caché para la sesión de prueba.
- Borrar las solicitudes existentes.
- Deje los análisis opcionales desactivados en Opciones de privacidad para la primera pasada.
- Cargue la imagen sintética, agregue una anotación visible y una marca de agua, obtenga una vista previa de las páginas y exporte un PDF.
La documentación del panel Red de Chrome explica cómo inspeccionar y filtrar solicitudes y revisar sus cargas útiles.
Inspeccionar solicitudes por tipo y carga útil
Filtre por fetch y xhr, luego inspeccione cualquier solicitud que se produzca durante la carga, anotación, vista previa o exportación. Verifique la URL, el método, los encabezados de la solicitud, la cadena de consulta, los datos del formulario, la carga útil de la solicitud y la respuesta.
Busque en el registro conservado la frase sintética y el nombre del archivo. Busque también cuerpos de solicitud inusualmente grandes cuyo momento coincida con la carga. Los píxeles de la imagen pueden ser binarios o codificados, por lo que la ausencia de la frase por sí sola es insuficiente; El tamaño de la carga útil y el tipo de contenido también importan.
Las solicitudes de imágenes estáticas desde el blog o la interfaz no son cargas del documento del usuario. Una URL blob: es una referencia de objeto local del navegador, no un destino de red remoto. Una URL data: incorpora datos en el contexto del documento actual y tampoco representa una carga HTTP.
Comparar estados de consentimiento
Repita la sesión después de otorgar el consentimiento de análisis opcional. La biblioteca de Google Analytics ahora puede cargar y enviar eventos de uso. La capa de análisis de Screenshot PDF registra eventos del producto, como la apertura del editor, el inicio de la exportación, el éxito o el fracaso, el recuento de páginas, la configuración regional y el contexto de uso amplio. Está diseñado para no incluir contenidos de capturas de pantalla, nombres de archivos, texto de marcas de agua, direcciones de correo electrónico o identificadores directos.
Inspeccione los parámetros del evento en lugar de asumir que una solicitud de análisis es inofensiva. Confirme que la frase sintética y el nombre del archivo estén ausentes. El consentimiento publicitario permanece inhabilitado durante la etapa de solicitud de AdSense, por lo que las solicitudes de anuncios no deberían aparecer simplemente porque se aceptaron los análisis.
Verificar rutas de falla
El comportamiento de privacidad no debería cambiar cuando falla una operación. Pruebe con un archivo pequeño no compatible o cancele el selector de archivos. Confirme que no se transmita ninguna carga útil de documentos como parte del informe de errores. No bloquee intencionalmente el navegador con archivos confidenciales enormes.
Para una prueba relacionada con la memoria, utilice un patrón generado y aumente las dimensiones gradualmente. Deténgase cuando el editor escale la imagen o el navegador se vuelva lento. El propósito es observar el comportamiento de la solicitud, no agotar el dispositivo.
Lo que DevTools no puede demostrar por sí solo
- Las extensiones del navegador y los trabajadores del servicio pueden tener contextos de ejecución separados; Inspeccione al trabajador del servicio de extensión correspondiente cuando pruebe el transporte de captura.
- Las solicitudes cifradas aún exponen el destino y solicitan metadatos en DevTools, pero la interpretación de la carga útil puede requerir la vista de la solicitud.
- Una sola prueba cubre una versión, navegador, estado de consentimiento y flujo de trabajo.
- Las extensiones de navegador instaladas por otros editores pueden observar páginas según sus propios permisos.
- La telemetría del sistema operativo está fuera del alcance de un panel de red de una página web.
Para una revisión de mayor seguridad, inspeccione el código fuente, cree artefactos, permisos de extensión, política de seguridad de contenido y comportamiento de la red en conjunto.
Registre el resultado de la auditoría
Cree una pequeña tabla que contenga la fecha, la creación del sitio web, la versión de la extensión, la versión del navegador, el estado de consentimiento, el hash del archivo de prueba, las acciones realizadas, los destinos observados, el resultado de la carga útil del documento y el revisor. Guarde un HAR redactado solo si no contiene tokens, cookies, URL privadas u otros encabezados confidenciales.
Si aparecen píxeles de documentos o datos de archivos en una solicitud remota inesperada, deténgase y reproduzca con el ejemplo sintético más pequeño. Informe el destino, el tipo de solicitud, la acción que la desencadenó y la versión a [email protected].
El procesamiento local es más fuerte cuando el reclamo, la implementación, el comportamiento de consentimiento y la evidencia observable de la red coinciden. Repetir esta verificación después de los lanzamientos convierte una frase de marketing en una propiedad de ingeniería mantenible.