20のオンライン変換サービスはファイルをどう扱うか

先に答えを

2026年9月17日、20の無料オンライン変換サービスへ同じファイルを渡し、ブラウザーから出たすべてのバイトを測りました。20のうち19がアップロードし、1つはしませんでした。

これは多くの人の予想どおりかもしれません。意外だったのは3点です。19のうち11は、変換ボタンを押す前、考え直す機会がないまま、ファイルを選んだ瞬間に送信しました。後から取得を試した完成ファイルは、すべて通常のウェブアドレスから、Cookie、ログイン、セッションなしで読めました。そして2つは、そのアドレスに元のファイル名を含めました。

悪意の証拠ではありません。多くのサービスはもともとアップロードで動き、保管方針も大半は短く具体的です。推測されていないアドレスで2時間保管すること自体が問題の証明ではありません。分かったのは、サイトが削除すると説明していることと、ファイルに何が起きたかを自分で確認できることの間に大きな隔たりがあり、それを午後の作業で測れるということです。

測定方法

意見ではなく数値が目的なので、方法は単純で再現できるものにしました。

ファイル

ランダムなピクセルで埋めた450 × 350のPNG、約542 KBで、名前はabox-probe-9471.pngです。ランダムなノイズは圧縮できず、どこでもバイト数がほぼ同じなので、送信リクエストを一覧で見分けられます。固有の名前なら、後でURLに含まれているかも探せます。

測定

ファイルを渡す前に、ページがバイトを送るすべての方法を、渡されたデータの大きさを記録してから通常の処理を行うものへ置き換えました。対象はfetch、XMLHttpRequest、navigator.sendBeacon、WebSocket.send、そして重要なHTMLFormElement.submitです。その後、ページのファイル入力にファイルを入れ、10秒待って記録を読みました。

フォームの監視も必要です。20のうち複数はスクリプトではなくHTMLフォームで送信し、fetchとXMLHttpRequestだけの監視には見えません。PicResizeはその間、blob:のアドレスからローカルに画像を表示するため、フォーム送信を捕まえるまでは端末内で動くツールに見えます。

その後の確認

完成ファイルへのリンクを返すサイトでは、そのリンクを通常のコマンドラインからもう一度取得しました。別のプログラムで、Cookieもセッションも、ブラウザーから引き継いだものもありません。その条件で返るファイルは、アドレスを持つ誰でも読めます。

20という数は操作できたサイトの数で、最大手20社の意味ではありません。さらに9つを試して測れなかったので、黙って除外せず後で挙げます。自動操作に対応しないことは、検査に合格したことではありません。

結果の表

以下のバイト数は2026年9月17日に送信から測った値です。最後の列は、同日に各サイトが公表していた方針を短くまとめたものです。

11のサービスはボタンを押す前に送信する

ここまで偏るとは予想していませんでした。19のうち11は、ページに未操作の変換ボタンが出ている間に、すでにファイルをサーバーへ送っていました。

iLoveIMGには画像を圧縮と表示され、開始の指示を待っているように見えても、542,816バイトがapi9.iloveimg.comへ送られていました。iLovePDF、PDF24、PDF Candy、Sejda、TinyPNG、jpg2pdfと、後述の同一プラットフォームの4サイトも同様でした。

設定を読んでいる間に送信すると、実行を決めたときに変換がすぐ終わるように見えます。技術的には合理的な改善ですが、多くの人があると思っている段階をなくします。ファイルの選択は開くこと、変換ボタンは送ることに感じられますが、20のうち11では両方が同時で、早いほうの選択時に送信されます。

その11では、削除前の下書き、給与明細、先に切り抜く予定の写真など、間違ったファイルを選んだと気付けるのは、送信された後です。

完成ファイルは公開アドレスに置かれる

4つのサイトは完成ファイルへの通常のリンクを返します。変換したブラウザーとは何も共有しないコマンドラインで、Cookieもセッションもなしに取得し直すと、4つともファイルを返しました。

• Ezgifのs1.ezgif.com/tmp/…は542,483バイトを返しました。測定用ファイルとバイト単位で同じです。
• Aconvertのs6.aconvert.com/convert/…は474,856バイトのPDFを返しました。
• ResizePixelのresizepixel.com/Image/…は432,111バイトを返しました。
• IMGonlineのsrv2.imgonline.com.ua/result_img/…は128,179バイトのJPEGを返しました。

普通のウェブ設計で、不正侵入ではありません。アドレスには長いランダムな部分があり、推測は現実的ではありません。ただし、ファイルを守っているものはパスワードでもアカウントでもなく、URLが知られていないことです。URLは履歴、アドレスバーのスクリーンショット、次のページへ送るRefererヘッダー、通信経路のプロキシ、ファイルの代わりにリンクを送るチャットなどに残る場合があります。

Aconvertは結果ページに、ファイルは2時間を超えて保管せず、ほかのサイトからリンクしないよう説明します。適切な場所とタイミングの注意ですが、4つのうちその説明があったのはここだけでした。

ファイル名も送られる

ファイルは内容だけと思いがちですが、変換サービスにはそれ以上が届きます。20のうち2つは、その追加情報を見える場所に置きました。

PDF Candyの送信先は/uploadcbc/1789652849416-abox-probe-9471.pngで、時刻と元のファイル名がアドレスに含まれました。ResizePixelのプレビューも/Image/<id>/Preview/abox-probe-9471.pngでした。

測定用のabox-probe-9471.pngは何も明かしませんが、実際の名前にはpassport-scan.jpg、contract-signed-final.pdf、scan-12wk.pngなどがあります。名前は文書の内容をよく説明するメタデータで、リクエストのアドレスはログやキャッシュに長く残り、ファイル自体より多くの相手に保管される場合があります。

画面に表示されない中身の情報も同じです。スマートフォンの写真には通常、撮影場所、時刻、カメラの識別情報があり、ときには切り抜く前の画像のサムネイルもあります。変換後にどう扱ったとしても、サービスはそれを受け取りました。

4つの名前、1つのプラットフォーム

Img2Go、Online-Convert、PDF2Go、Compress2Goは独立したサービスに見えます。送信先もwww21.img2go.com、www8.online-convert.com、www15.pdf2go.com、www6.compress2go.comと異なりますが、すべて同じパスで受け取りました。

/v2/dl/web7/upload-file/<uuid>

送信先の構造、動作、方針の文面、72時間の保管期間が同じです。1つのプラットフォームに4つの入口があり、方針を最後まで読めば開示されています。

批判ではありません。1つのシステムで複数のブランドを運営するのは普通で効率的です。ただし、信用できない変換サービスから別のサービスへ移っても、実際には同じ場所かもしれません。「別のサイトを使う」が対策になるのは、本当に別のサイトの場合です。

似た小さな例では、CloudConvertはeu-central.storage.cloudconvert.comへ送りました。名前から到着した地域が分かる点は、ほかの多くのサービスより情報があります。

保管方針の説明と、その意味

保管の約束は大半が短く具体的で、この種のサイトの評判から想像するより良好でした。Online2PDFの処理直後、PicResizeの20分、iLovePDF、iLoveIMG、PDF Candy、Aconvertの2時間から、4サイトのプラットフォームの72時間まであります。

逆の理由で挙げたいのが2つあります。jpg2pdf.comは通常のアドレスにプライバシーポリシーがなく、トップページの法的なリンクは/termsだけでした。その「Terms and Privacy」に1時間と書かれています。約束はよいものですが、場所が意外です。IMGonlineでは、英語トップページ、通常使われる2つのアドレス、ツールの保管・削除の説明のどこにも方針を見つけられませんでした。一方、完成ファイルはリンクを持つ誰でも取得できました。

大事なのは時間数そのものではありません。利用者の側からは、これらの約束が本当に守られたかを検証できません。削除を見られず、バックアップ、ログ、リクエスト本文を記録したエラー報告、配信を速めるキャッシュにも反映されたかは分かりません。売却や侵害後の扱いも見えません。保管方針は、会ったことのない人が、見られない機械について述べる意図で、誠実な説明もそうでない説明も同じ言葉で書けます。

ファイルをそもそも送れないツールを選ぶ理由はそこです。上記の会社がうそをつくという意味ではなく、送信しないツールなら、その扱いについて信用する必要がないためです。

アップロードしなかった1つ

Googleの画像圧縮ツールSquooshは、ファイルを受け取り、表示し、圧縮しても、ネットワークリクエストを一切出しませんでした。小さいデータやハッシュを送ったのでもなく、0バイトです。直前にTinyPNGの542,566バイトを検出したのと同じ方法で測りました。

表に入れる意味は、対照例になることです。送信なしという結果も得られるので、19の送信は、必ず何かを見つける測定方法のせいではありません。同じ形式の同じ作業をブラウザーで、サーバーなしにできることも示します。「変換は難しいから送信が必要」という前提への答えです。

送信は必須ではありません。多くのツールは以前の必要に合わせて作られ、アカウント、利用量、料金プランをサーバーで管理します。ブラウザーだけで動くツールは利用量を計測しにくくなります。

測れなかったもの

さらにFreeConvert、Smallpdf、Zamzar、Optimizilla、Photopea、media.io、Bulk Resize Photos、png2jpg.com、SimpleImageResizerの9サイトを試しましたが、表には入れていません。

8つは私たちの操作方法の限界です。実際のクリックにしか反応せず、スクリプトで入れたファイルを受け付けませんでした。送信されず、測るものもありません。これは検査結果ではなく、結果として読むべきではありません。その8つが端末内で処理する証拠ではなく、検査を実行できなかっただけです。

SimpleImageResizerは、この方法の落とし穴を示しました。フォームにファイル入力があっても、enctype="application/x-www-form-urlencoded"なので、ブラウザーが送るのはバイトではなくファイル名だけです。最初の単純な測定ではフォームの内容を足し、実際には起こらなかった1,085,210バイトの送信と判定しました。公表せず、その行を除外しました。再測定する人は、フォームのenctypeを確認してください。

自分で確認する

説明を信じる必要はありません。方法を公表したのは、間違いだと思う人も表を作り直せるようにするためです。簡単な確認には特別な道具も要りません。

• 接続を切る。ページを読み込んでWi-Fiを切ってから使います。ブラウザー内の処理は続き、サーバーでの処理は止まります。言い回しではこの検査に答えられません。
• ネットワークタブを見る。開発者ツールでNetworkを選び、大きさで並べて操作します。4 MBの写真が送られれば、4 MBのリクエストが上に出ます。変換ボタンを押した後だけでなく、前も見てください。
• connect-srcを読む。ページのContent-Security-Policyに通信を許可するアドレスがあり、コードの動作にかかわらずブラウザーが適用します。そのサイト自身のアドレスがあれば、そこへファイルを送れます。

3つの詳しい説明と、4つ目も確認する理由はオンライン変換サービスへファイルをアップロードしても安全かで説明しています。

このサイトにも同じ問いを向ける

ほかの20サイトを測り、自分だけ除外するのは不自然です。同じ表の項目で答えます。

• 送信バイト数：0。各ツールはブラウザーで動き、ファイル、サムネイル、名前、大きさ、読み取った内容を送りません。
• 送信先：なし。送るサーバーはありません。静的なファイルで、ポリシーのconnect-srcにはGoogleの広告・計測と寄付ボタンの通信先がありますが、このサイト自身のアドレスはありません。
• 保管期間：該当なし。何も届かないので、削除タイマーを信頼する必要がありません。それがこのページの理由です。
• 検証できるか：はい。コードはすべて公開されています。ビルドはコメントと空白を除くだけで、自分で実行し、配信されるものと比べられます。

例外も明記します。Googleの広告と訪問計測はGoogleと通信しますが、ファイル情報を渡しません。画像から動画は貼り付けたアドレスから画像を取得でき、そのサーバーにはIPアドレスが分かります。テキスト共有は2つのブラウザーを紹介するために1つの接続を開きますが、何も保管せず、内容も運びません。3つともプライバシーページで詳しく説明しています。

20のいずれかを検索して来たなら、こちらには指定容量を目指す画像圧縮、画像からPDF、PDF結合、PDF圧縮、隠れた情報を調べるEXIF表示・削除があります。無料でアカウント不要、ファイルを送る場所もありません。

この数値を使うには

測定結果は引用、参照、再測定できます。紹介するときの要点は、2026年9月17日に20の無料変換サービスを測り、19が送信し、そのうち11は変換ボタンを押す前、取得を試した完成ファイル4件すべてはセッションなしの公開アドレスから読めた、ということです。

このページへのリンクは歓迎しますが、必須ではありません。サイトは変わり、これはある午後の記録なので、同じ方法で違う結果が出たら知らせてください。連絡先から送れます。バイト数を添えた訂正をここに公表します。