短い答え
ウェブページへのテキストの貼り付けは、ファイルのアップロードと寸分違わぬ重さの結果を招きえます。そう感じられないのは、この動作が安全な場所から借りてこられたものだからです。自分の二つのウィンドウのあいだでなら、貼り付けはテキストを、あなたが管理する場所からあなたが管理する別の場所へ動かすだけです。ウェブページでは、その二つ目の場所はスクリプトが読めるテキスト欄です。そのあと何が起きるかを決めるのは、動作ではなく、ページのほうです。
貼り付けの形をした道具の少なくない数が、仕事をサーバーでやっています。ページがテキストを送り出し、サーバーが整形なり検証なり比較なりをして、結果が返ってくる。画面の何を見ても、どちらの種類を使っているかは分かりません。テキスト欄はどちらでも同じに見えますし、「整形」ボタンも同じです。違いはネットワークリクエスト一本きりで、探さないかぎり見えません。
貼り付けが実際に運んでいるもの
オンラインツールに流れ着くものは、めったに散文ではありません。誰かの仕事の作業テキストであり、その種類が問題です。計算機の世界でもっとも取り扱い注意な文字列のいくつかは、まさに深夜にフォーマッターへ貼り付けられる類いのものだからです。
- 設定ファイルは、プログラムに直書きしてはならないものを収めるために存在します。そしてそれは、データベースのパスワード、APIキー、署名の秘密です。丸ごと貼り付けた設定ファイルは、その全部を運びます。
- ログとスタックトレースは、URLの中のセッショントークン、メールアドレス、内部ホスト名、そしてときには誰かの個人情報を含むリクエスト本文を運びます。
- APIレスポンスは本番データのスナップショットです。実在の顧客、実在の残高が、読みやすいどこかへ貼り付けられます。
- base64の形をしたものがデコーダーに貼られるとき、それが符号化されていたのはたいてい、中身が大事だったからです。デバッグ中のトークン、証明書、認証ヘッダー。
見知らぬ誰かのサーバーを経由した鍵は、気づいた瞬間から漏えいしたものとして扱わねばなりません。失効させ、発行し直す。本番システムでそれは、誰も予定していなかった午後半日です。要点は、フォーマッターのサイトが資格情報を収穫しているということではありません。サーバーが何を記録しているかをあなたには知りようがない、そして漏えいを否定しきれない秘密は、取り替えるしかない秘密だ、ということです。
道具はテキストの旅立ちを必要としていない
問いを終わらせる技術的事実がこれです。テキストの整形、検証、変換、比較は、計算機の仕事の中でもっとも軽い部類に入ります。JSONの解析、XMLの字下げ、二つのファイルの比較、base64の符号化。ブラウザはこれらを数ミリ秒で、ローカルでこなしますし、何年も前からこなせています。サーバーはこの仕事に何も足しません。貼り付けの形をした道具があなたのテキストをアップロードしているなら、それは設計の名残か運営者の都合であって、仕事の必要では決してありません。
その反例が、このサイトのテキストツールです。JSONフォーマッターはJSON、XML、HTML、CSS、YAMLを解析し、整形し、変換します。テキスト比較は二つのテキストのすべての違いを、行ごと、単語ごとに印を付けます。Base64エンコーダー・デコーダーはテキストとその符号化のあいだを両方向に行き来します。三つともあなたの機械の上で走り、貼り付けたものには行き先がありません。これらのページは、それを送りうるコード経路を積んでいないのです。
うち二つには、すでに連れ立ちのガイドがあります。JSONをアップロードせずに整形すると、二つのJSONファイルを比較するです。
どちらの種類を使っているかの見分けかた
検査はファイルの道具と同じで、アップロードのガイドに全文があります。貼り付け向けの短い版はこうです。
- プラグを抜く。ページを読み込み、接続を切り、貼り付けて、ボタンを押す。ローカルの道具はそのまま続き、サーバーの道具は止まります。30秒、専門知識ゼロ、偽装は不可能。
- 「整形」を押す瞬間にネットワークタブを見る。その瞬間に発つ、貼り付けとおよそ同じ大きさのリクエストは、あなたの貼り付けが発っていく姿です。リクエストがなければ、アップロードもありません。
- 親切な付録を疑う。「このスニペットを共有」ボタン、端末をまたいで同期される貼り付け履歴、同僚に送れるリンク。どれも、テキストがサーバーに保存された場合にだけ可能です。機能は自白です。あなたの貼り付けを他人に見せられるページは、それを保持しているのです。
そして、三つの検査に勝るひとつの習慣があります。貼り付けを減らすことです。設定ファイルの形を検証するのに、バリデーターは本物のパスワードを必要としません。"REDACTED"はまったく同じに解析されます。そして貼り付けそのものが秘密である場合、規則はさらに単純になります。パスワードを受け取ってよい唯一のページは、そのパスワードが属するログインページだけです。