Die kurze Antwort
Text in eine Webseite einzufügen kann exakt so folgenreich sein wie eine Datei hochzuladen. Dass es sich nicht so anfühlt, liegt daran, dass die Geste aus einer sicheren Gegend stammt: Zwischen zwei eigenen Fenstern bewegt Einfügen Text von einem Ort unter Ihrer Kontrolle an einen anderen. Auf einer Webseite ist der zweite Ort ein Textfeld, das ein Skript lesen kann — und was danach passiert, entscheidet allein die Seite, nicht die Geste.
Etliche Werkzeuge in Einfüge-Gestalt arbeiten auf einem Server: Die Seite schickt Ihren Text fort, der Server formatiert, prüft oder vergleicht, das Ergebnis kommt zurück. Nichts am Bildschirm verrät, welche Sorte Sie gerade benutzen. Das Textfeld sieht gleich aus, der „Formatieren“-Knopf auch. Der Unterschied ist eine einzige Netzwerkanfrage, unsichtbar, solange niemand nachsieht.
Was ein eingefügter Text wirklich trägt
Was in Online-Werkzeugen landet, ist selten Prosa. Es ist der Arbeitstext von jemandes Beruf, und die Gattung zählt, denn einige der empfindlichsten Zeichenketten der Informatik sind genau die, die um Mitternacht in Formatierer eingefügt werden:
- Konfigurationsdateien existieren, um zu halten, was ein Programm nicht fest einbauen darf — und das sind Datenbankpasswörter, API-Schlüssel und Signatur-Geheimnisse. Eine im Ganzen eingefügte Config trägt jeden davon.
- Logs und Stacktraces tragen Sitzungs-Tokens in URLs, E-Mail-Adressen, interne Hostnamen und gelegentlich einen Request-Body mit den persönlichen Daten von irgendwem.
- API-Antworten sind Momentaufnahmen von Produktionsdaten — echte Kunden, echte Salden —, irgendwohin Bequemes eingefügt, um gelesen zu werden.
- Alles Base64-Förmige, das in einen Dekodierer wandert, wurde meist kodiert, weil es zählte: ein Token beim Debuggen, ein Zertifikat, ein Auth-Header.
Ein Schlüssel, der über den Server eines Fremden gereist ist, muss in dem Moment als offengelegt gelten, in dem es auffällt — widerrufen und neu ausgestellt, was auf einem Produktivsystem ein Nachmittag ist, den niemand geplant hatte. Der Punkt ist nicht, dass Formatierer-Seiten Zugangsdaten ernten. Der Punkt ist, dass Sie nicht wissen können, was ein Server protokolliert — und ein Geheimnis, dessen Offenlegung Sie nicht ausschließen können, ist ein Geheimnis, das Sie rotieren müssen.
Warum das Werkzeug Ihren Text nicht braucht
Hier ist die technische Tatsache, die die Frage erledigt: Formatieren, Prüfen, Umwandeln und Vergleichen von Text gehören zu den leichtesten Aufgaben der Informatik. JSON parsen, XML einrücken, zwei Dateien vergleichen, Base64 kodieren — ein Browser tut das in Millisekunden, lokal, und kann das seit Jahren. Ein Server trägt zur Aufgabe nichts bei. Wenn ein Einfüge-Werkzeug Ihren Text hochlädt, ist das ein Architektur-Überbleibsel oder eine Bequemlichkeit des Betreibers — nie eine Notwendigkeit der Arbeit.
Genau dafür sind die Textwerkzeuge dieser Seite das Gegenbeispiel. Der JSON-Formatierer parst, formatiert und konvertiert JSON, XML, HTML, CSS und YAML; der Text-Vergleich markiert jeden Unterschied zwischen zwei Texten, Zeile für Zeile und Wort für Wort; der Base64-Kodierer und -Dekodierer geht beide Richtungen zwischen Text und seinen Kodierungen. Alle drei laufen auf Ihrer Maschine, und was Sie einfügen, hat keinen Ort, an den es gehen könnte — die Seiten tragen keinen Code-Pfad, der es senden würde.
Zwei davon haben bereits eigene Ratgeber: JSON formatieren, ohne es hochzuladen und zwei JSON-Dateien vergleichen.
Woran Sie erkennen, welche Sorte Sie benutzen
Die Prüfungen sind dieselben wie bei einem Datei-Werkzeug, und sie stehen vollständig im Ratgeber zum Hochladen. Die Einfüge-Kurzfassung:
- Ziehen Sie den Stecker. Seite laden, Verbindung trennen, einfügen, Knopf drücken. Ein lokales Werkzeug macht weiter; ein Server-Werkzeug bleibt stehen. Dreißig Sekunden, keine Vorkenntnisse, nicht zu fälschen.
- Beobachten Sie den Netzwerk-Tab, während Sie auf Formatieren drücken. Eine Anfrage, die in diesem Moment abgeht und ungefähr so groß ist wie Ihr eingefügter Text, ist Ihr eingefügter Text beim Abgehen. Keine Anfrage, kein Upload.
- Misstrauen Sie den hilfreichen Extras. Ein „Snippet teilen“-Knopf, ein geräteübergreifender Verlauf Ihrer letzten Einfügungen, ein Link für die Kollegin — jedes davon ist nur möglich, wenn der Text auf einem Server gespeichert wurde. Funktionen sind Behauptungen: Eine Seite, die Ihre Einfügung jemand anderem zeigen kann, hat sie behalten.
Und eine Gewohnheit schlägt alle drei Prüfungen: weniger einfügen. Ein Validator braucht nicht das echte Passwort, um die Form einer Config zu prüfen — "REDACTED" parst identisch. Und für die Einfügung, die selbst das Geheimnis ist, schrumpft die Regel auf etwas noch Einfacheres: Die einzige Seite, die je ein Passwort empfangen sollte, ist die Anmeldeseite, zu der es gehört.