Ne nous croyez pas. Vérifiez.

La vérification en 30 secondes

1. Ouvrez les outils de développement de votre navigateur et allez à l’onglet Réseau

   F12 sur Windows et Linux, ou Option-Commande-I sur un Mac. Cochez « Conserver le journal » pour que rien ne disparaisse à la navigation.

2. Rechargez cette page, puis videz le journal

   Vous verrez la page elle-même, une feuille de styles, deux fichiers de police et, sur une page d’outil, les scripts de l’éditeur et du worker, tous servis depuis ce domaine. Vous verrez aussi la balise Google Analytics, qui est la seule requête tierce de ce site et la seule qui mérite un second regard.

3. Allez maintenant sur un outil et collez quelque chose. N’importe quoi. Dix mégaoctets

   Formatez-le, convertissez-le, cassez-le et validez-le, et surveillez l’onglet Réseau. Les seules requêtes sont les pings analytiques, et vous pouvez en ouvrir n’importe lequel : ils portent l’URL de la page, la taille de votre écran et un identifiant de visiteur. Dix mégaoctets de JSON ne tiennent pas dans l’un d’eux, et n’y sont pas. Rien d’autre n’est envoyé, ni pendant que vous tapez, ni quand vous cliquez, ni quand vous quittez la page.

Ce qui en fait une garantie

Surveiller l’onglet Réseau vous dit ce qui s’est passé cette fois-ci. L’en-tête ci-dessous vous dit ce qui est possible tout court. Regardez les en-têtes de réponse de n’importe quelle page de ce site, dans ce même onglet Réseau, et vous le trouverez.

default-src 'self';
connect-src https://*.google-analytics.com https://*.analytics.google.com https://*.googletagmanager.com;
script-src 'self' https://www.googletagmanager.com;
style-src 'self' 'unsafe-inline';
img-src 'self' data: https://*.google-analytics.com https://*.googletagmanager.com;
font-src 'self';
form-action 'none';
frame-ancestors 'none';
base-uri 'self';
object-src 'none';
worker-src 'self' blob:

La ligne qui compte est connect-src. C’est une liste d’autorisation, et elle nomme le point de collecte analytique et rien d’autre. Toute autre requête sortante que cette page pourrait tenter est refusée : pas de fetch, pas de XMLHttpRequest, pas de WebSocket, pas d’EventSource, pas de sendBeacon vers un endroit où votre document pourrait atterrir.

Ce n’est pas une déclaration sur nos intentions. C’est une règle que le navigateur impose à tout code s’exécutant sur cette page, y compris du code que nous ajouterions par erreur demain, y compris une dépendance compromise, et y compris le script analytique lui-même, qui peut joindre Google et rien d’autre. Si quelque chose sur ce site tentait un jour d’envoyer votre payload quelque part, le navigateur le bloquerait et consignerait une violation dans votre console.

Vous pouvez vous le prouver. Ouvrez la console sur n’importe quelle page d’ici et lancez fetch('https://example.com'). Ce sera refusé, et le navigateur vous dira pourquoi.

Ce à quoi nous avons renoncé pour pouvoir dire cela

Un en-tête aussi étroit a des coûts, et il vaut la peine d’être explicite à leur sujet, car ils sont la raison pour laquelle la plupart des sites n’en livrent pas. Il comporte exactement une exception, et c’est la première entrée ci-dessous.

Une exception : l’analytique

Google Analytics compte les pages vues, et c’est le seul hôte que la liste d’autorisation permet. Il voit la page où vous êtes, d’où vous venez, votre langue, la taille de votre écran et un identifiant de visiteur. Il ne voit pas l’éditeur, et l’en-tête même qui lui permet de parler à Google est ce qui l’empêche, lui comme tout le reste ici, de parler à quoi que ce soit d’autre.

Pas de publicité

Une balise publicitaire est un script tiers qui fait des requêtes réseau et lit la page. Elle est incompatible avec tout ce qui figure sur cette page, et en ajouter une plus tard ferait perdre l’affirmation définitivement plutôt que partiellement.

Pas d’envoi de fichier et pas de chargement depuis une URL

Les fichiers sont lus avec le FileReader du navigateur, qui n’envoie jamais rien. Charger un document depuis une URL distante n’est pas proposé du tout, parce que les navigateurs bloquent les requêtes inter-origines et que la seule façon d’y arriver est de faire transiter la requête par un serveur. Ce serveur est précisément ce contre quoi nous plaidons.

Pas de comptes, pas de liens enregistrés, pas de service de partage

Une fonction « enregistrer cet extrait » est une base de données des payloads d’autrui. C’est exactement la fonction qui a laissé fuiter 80 000 collages en novembre 2025, et les données exposées comprenaient des identifiants Active Directory, des clés d’accès cloud et des relevés bancaires.

Pas de polices ni de styles depuis un CDN

Chaque police, feuille de styles et script, en dehors de la balise analytique, est servi depuis ce domaine. Une requête de police vers un tiers reste une requête vers un tiers, et elle emporte votre adresse IP et la page où vous êtes.

Rien n’est écrit dans la console

Ni votre entrée, ni votre sortie, ni « pour aider » dans un gestionnaire d’erreurs. Le build échoue si une instruction de journalisation s’approche du contenu utilisateur.

Ce contre quoi cela ne vous protège pas

Être franc sur les limites fait partie de ce qui donne du prix à l’affirmation.

• / Une extension de navigateur ayant l’autorisation de lire le contenu des pages peut lire cette page, comme n’importe quelle autre. Aucun site web ne peut l’empêcher.
• / Quiconque a accès à votre machine peut voir ce qui est à l’écran et dans votre localStorage.
• / Notre hébergeur peut voir que votre navigateur a demandé une page, ainsi que votre adresse IP, parce que c’est ce que veut dire servir une page. Il ne peut pas voir ce que vous collez, parce que ce n’est jamais envoyé.
• / Si vous copiez la sortie et la collez ailleurs, cela regarde vous et l’endroit où vous la collez.

Questions

Pourquoi devrais-je croire tout cela ?

Vous ne devriez pas. C’est la raison d’être de cette page. Chaque affirmation qu’elle contient est vérifiable par vous-même en moins d’une minute, avec des outils déjà présents dans votre navigateur. Une promesse dans une politique de confidentialité ne vaut rien ; un en-tête Content-Security-Policy est imposé par le navigateur quoi que notre code tente de faire.

Et une extension de navigateur qui lirait mes données ?

Une extension ayant l’autorisation de lire le contenu des pages peut lire n’importe quoi sur n’importe quelle page, y compris celle-ci. Aucun site web ne peut l’empêcher, et tout site prétendant le contraire a tort. Ce que nous pouvons faire, c’est nous assurer que la page elle-même n’a nulle part où envoyer votre document, et c’est ce que fait la liste d’autorisation connect-src.

Est-ce que quelque chose est stocké ?

Votre brouillon en cours et les réglages de vos outils sont conservés dans le localStorage, sur votre propre appareil, pour qu’un rechargement ne perde pas votre travail. Les brouillons de plus de 512 Ko ne sont pas stockés du tout. Effacer les données du site supprime tout, et rien n’est jamais transmis.

Pourquoi n’y a-t-il pas de fonction « charger depuis une URL » ?

Parce qu’elle ne peut pas être construite honnêtement. Les navigateurs bloquent les requêtes inter-origines, donc la seule façon de la proposer est de faire passer la requête par un serveur, ce qui signifie que l’URL et sa réponse transitent par nous. Tout site qui propose cette fonction possède ce serveur. Refuser de la construire est précisément le propos.

Que voit l’analytique ?

Google Analytics 4 enregistre la page où vous êtes, d’où vous êtes arrivé, votre langue, la taille de votre écran, une localisation approximative déduite de votre adresse IP et un identifiant de visiteur conservé dans un cookie. Il n’enregistre pas ce que vous collez, et il ne le pourrait pas : le document vit dans l’éditeur et dans le worker qui le formate, et le script analytique n’a accès ni à l’un ni à l’autre. Bloquer les cookies pour ce domaine, ou n’importe quel bloqueur de contenu, le désactive entièrement et tous les outils continuent de fonctionner.