온라인 변환 사이트에 파일을 올려도 안전할까요?

짧은 답

대부분의 파일은, 대부분의 경우, 올려도 괜찮습니다. 평판 있는 변환 사이트는 보내 준 것을 몇 시간 안에 지우고, 남의 휴가 사진에 관심도 없습니다.

문제는 그들이 거짓말을 한다는 것이 아닙니다. 거짓말인지 아닌지 확인할 방법이 없다는 것입니다. 파일이 내 기기 밖으로 나가는 순간, 그다음에 무슨 일이 일어나는지에 관한 모든 약속은 그저 믿어 주기로 한 약속이 됩니다. 얼마나 오래 보관되는지, 누가 접근할 수 있는지, 삭제 타이머보다 오래 남는 백업으로 복사되는지, 그 회사가 팔리거나 뚫리면 그 파일은 어떻게 되는지. 그중 무엇도 바깥에서는 보이지 않습니다.

그러니 쓸모 있는 질문은 “이 사이트를 믿을 수 있는가?”가 아닙니다. “이 작업에 내 파일이 밖으로 나갈 필요가 정말로 있는가?”입니다. 점점 더 많은 작업에서 답은 아니오이고, 답이 아니오일 때 신뢰의 문제는 애초에 답할 필요가 없는 문제가 됩니다.

“업로드”가 실제로 하는 일

변환 사이트가 파일을 고르라고 한 뒤 진행 막대를 보여 준다면, 브라우저가 그 파일 전체를 바이트 하나까지 인터넷 너머 남의 컴퓨터로 복사하고 있는 것입니다. 그 컴퓨터는 파일을 디스크에 쓰고, 변환을 돌리고, 결과를 같은 디스크에 쓰고, 링크를 하나 건네줍니다.

그 순간 내 파일은 내가 고르지 않은 곳에 최소 세 벌 존재합니다. 서버의 디스크, 그 요청을 기록한 로그, 그리고 내려받기가 빠르도록 결과를 캐시해 둔 콘텐츠 전송 네트워크. 삭제 정책은 그 셋 모두에 닿아야 합니다. 대부분은 그렇게 한다고 말합니다. 그중 무엇도 확인할 수는 없고요.

함께 알아 둘 것이 있습니다. 도착하는 것은 파일만이 아닙니다. 파일 이름도 함께 가고, 파일 안에 있지만 눈에 보이지 않는 것도 전부 함께 갑니다. 휴대폰에서 막 나온 사진은 보통 찍힌 자리의 정확한 GPS 좌표와 시각, 카메라 일련번호를 싣고 있고, 때로는 잘라내기 전 원본의 미리보기 이미지를 품고 있기도 합니다. 사진에는 신경 쓰면서 그쪽에는 신경 쓰지 못하는 경우가 많은데, 화면에 아무것도 보이지 않기 때문입니다.

그런데도 대부분의 도구가 업로드하는 이유

남의 파일이 탐나서가 아닙니다. 웹의 역사 대부분 동안 다른 방법이 없었기 때문입니다. 브라우저는 영상을 디코딩할 수도, 원하는 화질로 이미지를 다시 인코딩할 수도, 파일 형식을 해석할 수도 없었습니다. FFmpeg과 ImageMagick이 있는 서버는 할 수 있었고요. 업로드는 사업 모델이 아니라, 그 일이 일어날 수 있는 유일한 자리였습니다.

그게 최근에, 조용히 사실이 아니게 되었습니다. 이제 브라우저에는 같은 컴파일 코덱을 네이티브에 가까운 속도로 돌리는 WebAssembly가 있고, 기기에 이미 들어 있는 하드웨어 영상 인코더를 드러내는 WebCodecs가 있으며, 이미지를 직접 디코딩하고 다시 인코딩할 수 있는 Canvas API가 있습니다. 예전에는 서버가 필요했던 그 일이 이제 파일을 이미 갖고 있는 그 기기에서 돌아갑니다.

여전히 업로드하는 도구도 많고, 정직한 이유도 있습니다. 아무도 다시 쓰고 싶어 하지 않는 기존 파이프라인, 브라우저 쪽 디코더가 없는 형식, 휴대폰에는 정말로 너무 무거운 작업. 덜 정직한 이유도 하나 있는데, 계정과 사용량 제한과 유료 등급이 사는 곳이 서버라는 것입니다. 전부 브라우저에서 돌아가는 도구는 값을 매기기 어렵습니다.

직접 해 볼 수 있는 네 가지 확인

이 사이트를 포함해 어떤 도구에든 통합니다. 누구의 말도 믿을 필요가 없고, 첫 번째는 10초쯤이면 됩니다.

1. 선을 뽑으세요

페이지를 불러온 다음 와이파이를 끄거나 랜선을 뽑고 써 보세요. 브라우저에서 일하는 도구는 아까와 똑같이 계속됩니다. 업로드하는 도구는 그 자리에서 멈춥니다. 일을 하던 쪽에 더 이상 닿을 수 없으니까요.

가장 강력하고 가장 흉내 내기 어려운 시험입니다. 말솜씨로는 답할 수 없기 때문입니다. 네트워크 없이 변환이 끝나거나, 끝나지 않거나 둘 중 하나니까요.

2. '네트워크' 탭을 보세요

브라우저의 개발자 도구를 열고 '네트워크' 탭을 고른 다음 도구를 써 보세요. 그 페이지가 만드는 모든 요청이 크기와 함께 나열됩니다. 4 MB짜리 사진이 업로드되었다면 그 목록에 4 MB짜리 요청이 있습니다. 페이지에서 나가는 가장 큰 것이 몇 킬로바이트짜리 광고라면 업로드되지 않은 것입니다.

크기순으로 정렬하고 맨 위를 보세요. 요청을 이해하실 필요는 없습니다. 그중 하나가 방금 넣은 파일만 한 크기인지만 보시면 됩니다.

3. Content-Security-Policy를 읽으세요

페이지 소스를 보고 위쪽에서 Content-Security-Policy를 찾으세요. 그 페이지가 연결해도 되는 주소의 목록이고, 사이트의 선의가 아니라 브라우저가 강제합니다. 목록에 없는 곳으로 가는 요청은 코드가 무엇을 시도하든 거부됩니다.

중요한 지시어는 connect-src입니다. 페이지가 데이터를 어디로 보낼 수 있는지를 정합니다. 지금 보고 있는 그 사이트의 주소가 적혀 있으면 그 페이지는 파일을 거기로 보낼 수 있습니다. 아무것도 적혀 있지 않거나 광고망 같은 제삼자만 적혀 있으면 보낼 수 없고요.

Content-Security-Policy가 아예 없는 페이지라고 해서 나쁘다는 증거는 아닙니다. 그저 이 확인이 알려 줄 것이 없다는 뜻입니다.

4. 코드를 읽으세요

가장 번거롭고, 가장 확실합니다. 도구가 소스를 공개하고 빌드 단계 없이 제공한다면, 브라우저가 받아 온 파일이 곧 읽을 수 있는 파일입니다. 거기서 fetch, XMLHttpRequest, sendBeacon을 찾아보세요. 페이지가 무언가를 보낼 수 있는 세 가지 방법입니다. 그리고 거기에 무엇이 넘어가는지 보세요.

대부분은 이렇게까지 하지 않으실 겁니다. 그래도 가능하다는 사실은 중요합니다. 아무도 확인할 수 없는 주장은 사실 주장이 아니니까요.

“브라우저에서 돌아간다”가 뜻하지 않는 것

정확히 해 둘 만합니다. 이 표현이 헐겁게 쓰이기도 하고, 이 사이트도 자기가 내세우는 기준을 스스로 지켜야 하니까요.

• 요청이 아예 없다는 뜻은 아닙니다. 페이지 자체가 네트워크로 왔고, 대부분의 무료 도구는 누군가와 통신하는 광고나 분석을 싣고 있습니다. 이 주장은 파일에 대한 것이지 트래픽 일반에 대한 것이 아닙니다.
• IP 주소를 가려 주지 않습니다. 방문하는 모든 사이트가 그것을 봅니다. 여기도 마찬가지고요. 기기에서 처리한다는 말은 파일의 내용을 두고 하는 말이지 익명성을 두고 하는 말이 아닙니다.
• 무언가를 가져오는 기능 앞에서는 성립하지 않습니다. 주소를 붙여 넣게 해 주는 도구는 그 주소에 연결해야 하고, 그 서버는 내 IP와 무엇을 요청했는지를 알게 됩니다. 결함이 아니라 그 기능에 내재한 성질입니다. 다만 진짜 예외이니, 도구는 그걸 반올림해 넘기지 말고 분명히 말해야 합니다.
• “업로드한 파일을 삭제합니다”와 같은 말이 아닙니다. 두 번째 문장은 회사가 하기로 한 일을 말합니다. 첫 번째는 기술적으로 가능한 일을 말하고요. 확인할 수 있는 것은 그중 하나뿐입니다.

업로드해도 정말 괜찮을 때

모든 업로드가 실수라는 이야기가 아닙니다. 내용이 민감하지 않고 그 편이 더 쉬울 때, 작업이 정말로 내 기기에 너무 무거울 때, 브라우저 쪽 디코더가 없는 형식일 때, 또는 이미 관계를 맺고 있고 약관도 실제로 읽어 본 서비스를 쓸 때라면 그냥 보내세요.

공개적으로 올리지 않을 무언가가 든 파일이라면 더 조심하세요. 신분증, 의료 영상, 계약서, 공유할 생각이 없던 주소나 얼굴이 담긴 것, 위치 정보를 아직 확인해 보지 않은 사진 같은 것들요. 그런 파일에는 믿어야 하는 도구보다 확인할 수 있는 도구가 낫습니다. 믿을 만한 쪽이 배신할 것 같아서가 아니라, 확인할 수 있는 쪽에서는 그 질문 자체가 생기지 않기 때문입니다.

이 사이트는 그 네 가지 확인에 어떻게 답하는가

확인해 보라고 해 놓고 자기만 빼 달라는 가이드는 이상하겠죠. 그래서 순서대로 답합니다.

• 선을 뽑으세요. 여기 아무 도구나 열고 연결을 끊어도 계속 동작합니다. 각 도구 페이지에는 지금 온라인인지 알려 주는 실시간 표시가 있어서, 그것이 바뀌는 것을 지켜보실 수 있습니다.
• '네트워크' 탭. 무언가를 변환하고 목록을 읽어 보세요. 파일도, 그 미리보기도, 이름도, 용량도, 거기서 읽어 낸 무엇도 실려 나가지 않습니다. 이 사이트에는 그런 것을 보낼 만한 사용자 정의 분석 이벤트가 하나도 없습니다.
• Content-Security-Policy. 모든 페이지 소스 맨 위에 있습니다. connect-src에는 구글의 광고·측정 엔드포인트와 후원 버튼이 적혀 있고, 그 밖에는 아무것도 없습니다. 그 목록의 어떤 주소도 이 사이트의 것이 아닙니다. 이 사이트에는 서버가 없기 때문입니다. 정적 파일일 뿐이거든요. 무언가 시도한다 해도 파일이 갈 곳이 없습니다.
• 코드. 모든 줄이 공개되어 있습니다. 빌드는 주석과 공백을 걷어 낼 뿐 그 밖에는 아무것도 하지 않고, 직접 돌려서 실제로 제공되는 것과 비교해 보실 수 있습니다.

예외는 묻어 두지 않고 적어 둡니다. 이 사이트는 구글 광고와 방문 집계를 싣고 있고, 둘 다 구글과 통신하며, 둘 중 어느 쪽에도 내 파일에 관한 것은 넘어가지 않습니다. 그리고 이미지를 동영상으로 도구는 붙여 넣은 주소에서 이미지를 가져올 수 있는데, 그러면 그 서버가 내 IP를 보게 됩니다. 개인정보 페이지에 둘 다 남김없이 적어 두었습니다.

여기 모든 도구가 이런 방식으로 동작합니다. 원하는 용량에 맞추는 이미지 압축, 동영상 화면 자르기, 이 페이지 위쪽에서 설명한 숨은 정보를 다루는 EXIF 확인 및 제거, 이미지를 동영상으로, 이미지를 PDF로. 전부 무료이고, 계정도 필요 없으며, 어느 것도 파일을 보낼 곳이 없습니다.