Non fidarti di noi. Controlla.

Il controllo in 30 secondi

1. Apri gli strumenti per sviluppatori del browser e vai alla scheda Rete

   F12 su Windows e Linux, oppure Opzione-Comando-I su Mac. Spunta «Conserva il registro» perché niente sparisca navigando.

2. Ricarica questa pagina, poi svuota il registro

   Vedrai la pagina stessa, un foglio di stile, due file di font e, su una pagina di strumento, gli script dell’editor e del worker, ognuno di essi servito da questo dominio. Vedrai anche il tag di Google Analytics, che è l’unica richiesta di terze parti di questo sito e l’unica che meriti un secondo sguardo.

3. Ora vai su uno strumento e incolla qualcosa. Qualsiasi cosa. Dieci megabyte

   Formattalo, convertilo, rompilo e validalo, e guarda la scheda Rete. Le uniche richieste sono i ping di analytics, e puoi aprirne una qualsiasi: portano l’URL della pagina, la dimensione del tuo schermo e un id visitatore. Dieci megabyte di JSON non ci stanno dentro, e infatti non ci sono. Nient’altro viene inviato, né mentre digiti, né quando clicchi, né quando lasci la pagina.

La parte che ne fa una garanzia

Guardare la scheda Rete ti dice che cosa è successo questa volta. L’header qui sotto ti dice che cosa è possibile in assoluto. Guarda gli header di risposta di una qualsiasi pagina di questo sito, nella stessa scheda Rete, e lo troverai.

default-src 'self';
connect-src https://*.google-analytics.com https://*.analytics.google.com https://*.googletagmanager.com;
script-src 'self' https://www.googletagmanager.com;
style-src 'self' 'unsafe-inline';
img-src 'self' data: https://*.google-analytics.com https://*.googletagmanager.com;
font-src 'self';
form-action 'none';
frame-ancestors 'none';
base-uri 'self';
object-src 'none';
worker-src 'self' blob:

La riga che conta è connect-src. È un’allowlist, e nomina l’endpoint di analytics e nient’altro. Ogni altra richiesta in uscita che questa pagina potrebbe tentare viene rifiutata: niente fetch, niente XMLHttpRequest, niente WebSocket, niente EventSource, niente sendBeacon verso un posto in cui il tuo documento possa finire.

Non è una dichiarazione sulle nostre intenzioni. È una regola che il browser impone a qualsiasi codice in esecuzione su questa pagina, compreso codice che potremmo aggiungere per errore domani, compresa una dipendenza compromessa, e compreso lo stesso script di analytics, che può raggiungere Google e nient’altro. Se qualcosa su questo sito provasse mai a spedire il tuo payload da qualche parte, il browser lo bloccherebbe e registrerebbe una violazione nella tua console.

Puoi dimostrartelo da solo. Apri la console su una qualsiasi pagina qui ed esegui fetch('https://example.com'). Verrà rifiutata, e il browser ti dirà perché.

A che cosa abbiamo rinunciato per poterlo dire

Un header così stretto ha dei costi, e vale la pena essere espliciti su di essi, perché sono il motivo per cui quasi nessun sito ne spedisce uno. Ha esattamente un’eccezione, ed è la prima voce qui sotto.

Un’eccezione: l’analytics

Google Analytics conta le visualizzazioni di pagina, ed è l’unico host che l’allowlist consente. Vede la pagina su cui ti trovi, da dove sei arrivato, la tua lingua, la dimensione del tuo schermo e un id visitatore. Non vede l’editor, e lo stesso header che gli permette di parlare con Google è ciò che impedisce a lui, o a qualunque altra cosa qui, di parlare con qualsiasi altro posto.

Niente pubblicità

Un tag pubblicitario è uno script di terze parti che fa richieste di rete e legge la pagina. È incompatibile con tutto quel che sta in questa pagina, e aggiungerne uno in seguito farebbe perdere l’affermazione in modo permanente e non parziale.

Niente caricamento file e niente caricamento da URL

I file vengono letti con il FileReader del browser, che non spedisce mai nulla. Caricare un documento da un URL remoto non è offerto affatto, perché i browser bloccano le richieste tra origini diverse e l’unico modo di farlo funzionare è far transitare la richiesta da un server. Quel server è esattamente ciò contro cui argomentiamo.

Niente account, niente link salvati, niente servizio di condivisione

Una funzione «salva questo frammento» è un database dei payload altrui. È esattamente la funzione che ha esposto 80.000 incollaggi a novembre 2025, e i dati esposti comprendevano credenziali Active Directory, chiavi di accesso cloud e documenti bancari.

Niente font o stili da un CDN

Ogni font, foglio di stile e script diverso dal tag di analytics è servito da questo dominio. Una richiesta di font a una terza parte resta una richiesta a una terza parte, e porta con sé il tuo indirizzo IP e la pagina su cui ti trovi.

Nulla viene scritto nella console

Né il tuo input, né il tuo output, né «per aiutare» dentro un gestore di errori. La build fallisce se un’istruzione di log si avvicina a contenuto dell’utente.

Da che cosa questo non ti protegge

Essere schietti sui limiti fa parte di ciò che dà valore all’affermazione.

• / Un’estensione del browser autorizzata a leggere il contenuto delle pagine può leggere questa pagina, come qualsiasi altra. Nessun sito web può impedirlo.
• / Chiunque abbia accesso alla tua macchina può vedere che cosa c’è sul tuo schermo e nel tuo localStorage.
• / Il nostro provider di hosting può vedere che il tuo browser ha richiesto una pagina, insieme al tuo indirizzo IP, perché è questo che significa servire una pagina. Non può vedere che cosa incolli, perché quello non viene mai inviato.
• / Se copi l’output e lo incolli altrove, è una faccenda tra te e il posto in cui lo incolli.

Domande

Perché dovrei credere a tutto questo?

Non dovresti. È per questo che esiste questa pagina. Ogni affermazione che contiene è verificabile da te in meno di un minuto, con strumenti già presenti nel tuo browser. Una promessa in un’informativa sulla privacy non vale nulla; un header Content-Security-Policy è imposto dal browser a prescindere da ciò che il nostro codice prova a fare.

E un’estensione del browser che legge i miei dati?

Un’estensione autorizzata a leggere il contenuto delle pagine può leggere qualsiasi cosa su qualsiasi pagina, compresa questa. Nessun sito web può impedirlo, e qualsiasi sito che sostenga il contrario si sbaglia. Quello che possiamo fare è assicurarci che la pagina stessa non abbia dove spedire il tuo documento, ed è ciò che fa l’allowlist connect-src.

Viene memorizzato qualcosa?

La tua bozza corrente e le impostazioni dei tuoi strumenti restano nel localStorage, sul tuo dispositivo, così un ricaricamento non perde il tuo lavoro. Le bozze oltre i 512 KB non vengono memorizzate affatto. Cancellare i dati del sito rimuove tutto, e nulla viene mai trasmesso.

Perché non c’è una funzione «carica da URL»?

Perché non si può costruire onestamente. I browser bloccano le richieste tra origini diverse, quindi l’unico modo di offrirla è far passare la richiesta da un server, il che significa che l’URL e la sua risposta transitano da noi. Ogni sito che offre questa funzione ha quel server. Rinunciare a costruirla è il punto.

Che cosa vede l’analytics?

Google Analytics 4 registra la pagina su cui ti trovi, da dove sei arrivato, la tua lingua, la dimensione del tuo schermo, una posizione approssimativa ricavata dal tuo indirizzo IP e un id visitatore conservato in un cookie. Non registra ciò che incolli, e non potrebbe: il documento vive nell’editor e nel worker che lo formatta, e lo script di analytics non può raggiungere né l’uno né l’altro. Bloccare i cookie per questo dominio, o un qualsiasi blocco dei contenuti, lo disattiva del tutto e ogni strumento continua a funzionare.