Генератор паролей, проверка надёжности, удаление UTM и шифрование файлов завершаются в текущей вкладке: пароли, ключи и файлы на сервер не уходят. Самоуничтожающаяся ссылка хранит только шифротекст; ключ расшифровки стоит в адресной строке после #. Здесь описаны границы, которые можно проверить на месте; сроки хранения из Политики конфиденциальности эта страница не заменяет.
01
Это обрабатывают браузерный Web Crypto или локальные скрипты. Как тело рабочего запроса к FastPwd они не уходят и в аналитику не пишутся.
#02
Кроме самой загрузки страницы FastPwd получает данные сервиса только в сценарии Burn-Link — и только как шифротекст.
Онлайн-генератор паролей на этом устройстве набирает символы или слова через Web Crypto getRandomValues, а не Math.random(). Длина 6–128 символов, по умолчанию 16. Результаты не сохраняются; после обновления страницы этих строк открытого текста на сервере не будет.
Проверка надёжности пароля на этом устройстве оценивает энтропию и время взлома и сверяет с публичным списком слабых паролей, который скачивается вместе со страницей. Проверяемый пароль не загружается; это не поиск по всему интернету в духе Have I Been Pwned.
Очистка конфиденциальных данных на этом устройстве снимает UTM, fbclid, gclid и похожие параметры слежения и маскирует телефоны, почту и номера документов. Ссылки и исходный текст не загружаются. Шифрование файлов шифрует потоком AES-256-GCM; один файл — не больше 5 ГБ. Файл и парольная фраза браузер не покидают.
Burn-Link — единственная функция, которая отправляет содержимое: текст сначала шифруется на этом устройстве, сервер хранит только шифротекст. Вид ключа: s.html?id={id}#{key}; в параметрах запроса только идентификатор.
«Локальное шифрование, ничего не загружается» само по себе не доказательство. На месте видно, какие запросы отправила эта вкладка и есть ли в теле то, что вы только что ввели.
Ищите в строках и телах запросов строку, которая встречается только в этом опыте. Сгенерированного пароля, проверяемого пароля, исходного текста очистки, имени файла и ключа после # там быть не должно.
Страница по-прежнему грузит стили и шрифты и может отправлять аналитику без текста. Имена событий могут появиться; только что введённого открытого текста в query или body быть не должно.
В блоге есть повторяемые шаги с канареечной строкой: Preserve log, повторная проверка без сети и то, что вопросительный знак попадает в HTTP, а решётка по умолчанию — нет. См. Как проверить локальное шифрование в браузере.
«О безопасности» отвечает на вопрос: «где идут вычисления и что не загружается». Перечисленное ниже в обещания этой страницы не входит.
Burn-Link снижает риск повторных открытий ссылки и долгого хранения открытого текста на сервере. Получатель по-прежнему может копировать, снимать скриншот или переслать.
Парольная фраза шифрования файлов вырабатывает ключ только на этом устройстве. У FastPwd нет копии и нет канала восстановления.
Проверка надёжности сверяет пароль с публичным списком частых слабых паролей. Так ловятся обычные слабые пароли; доказать, что строка ни разу не встречалась ни в одной утечке, страница не может.
Проверка в Network не доказывает, читало ли расширение буфер обмена. После смены браузера или версии снова выполните поиск канареечной строки.
# и в HTTP-запрос не попадает. Сервер не видит открытый текст и не может расшифровать шифротекст.Сначала сгенерируйте на этом устройстве набор случайных паролей или зашифруйте маленький одноразовый файл. Откройте DevTools и убедитесь, что в запросах нет только что введённого.