Descubre qué ocurre con el texto, los archivos y los números que pegas en herramientas online, cómo las herramientas de navegador mantienen tus datos en tu dispositivo y cómo comprobarlo tú mismo.
Tienes un bloque de JSON desordenado, un montón de facturas en PDF o una foto de tu documento de identidad que hay que comprimir. Buscas una herramienta gratuita, pegas o subes tus datos y obtienes el resultado en segundos. Es rápido y cómodo, y la mayoría de la gente nunca se pregunta adónde han ido a parar esos datos. Esa pregunta importa más de lo que parece, porque los textos y archivos que pasamos por herramientas online suelen ser lo más sensible que manejamos: claves de API, registros de clientes, contratos y cifras financieras.
Esta guía explica qué ocurre realmente cuando usas una herramienta online, cuál es la diferencia entre las herramientas basadas en servidor y las solo de navegador, y cómo comprobar por ti mismo las promesas de privacidad de cualquier herramienta en menos de dos minutos. También incluye una lista de verificación sencilla para decidir qué es seguro pegar y dónde. Todas las herramientas mencionadas, como el formateador JSON, el compresor de imágenes y unir PDF, funcionan en tu navegador, así que puedes seguir la guía con tus propios datos.
1. ¿Qué ocurre cuando pegas datos en una herramienta online?
La mayoría de las herramientas online gratuitas siguen uno de dos diseños que, desde fuera, se ven idénticos.
Las herramientas basadas en servidor envían tu entrada por internet a un ordenador del operador de la herramienta. Ese servidor hace el trabajo, por ejemplo formatear tu JSON o unir tus PDF, y te devuelve el resultado. Durante ese trayecto, tus datos existen en una infraestructura que no controlas. Según cómo esté construida la herramienta, el operador puede registrarlos, almacenarlos, guardarlos en caché, hacer copias de seguridad o pasarlos a servicios de terceros.
Las herramientas solo de navegador (también llamadas del lado del cliente) descargan su código en tu navegador una vez y hacen todo el trabajo en tu propio dispositivo. Tu entrada no tiene por qué salir de tu ordenador, porque el propio navegador tiene todo lo necesario para formatear, convertir o calcular.
| Característica | Herramienta basada en servidor | Herramienta solo de navegador |
|---|---|---|
| Dónde se procesa | En el servidor del operador | En tu propio dispositivo |
| ¿Tus datos viajan por internet? | Sí | No, no para el procesamiento en sí |
| ¿Quién podría guardar una copia? | El operador y los servicios que use | Nadie, salvo que guardes tú mismo |
| ¿Funciona sin conexión tras cargar? | Normalmente no | A menudo sí |
| Velocidad con archivos grandes | Limitada por la subida y la descarga | Limitada por tu dispositivo |
Ninguno de los dos diseños es bueno o malo por sí solo, y muchas herramientas basadas en servidor se gestionan con responsabilidad. Lo importante es que, con una herramienta basada en servidor, confías en las promesas del operador, mientras que con una herramienta solo de navegador el propio diseño limita lo que puede salir mal.
2. Por qué es arriesgado pegar datos en sitios web cualquiera
El riesgo no es teórico. En noviembre de 2025, investigadores de seguridad de watchTowr Labs informaron de que dos populares sitios de formateo de código, JSONFormatter y CodeBeautify, habían expuesto una enorme cantidad de contenido guardado por los usuarios. Los investigadores recopilaron más de 80.000 entradas guardadas, más de 5 GB de datos, a través de las páginas públicas «Recent Links» de esos sitios y de URL predecibles para los fragmentos compartidos.
Según los investigadores, el material incluía credenciales, claves de la nube, claves privadas, tokens de API y datos personales de organizaciones de sectores como la administración pública, la banca, la sanidad y las telecomunicaciones. Para comprobar si alguien aprovechaba esa exposición, los investigadores colocaron claves de la nube falsas, pero con aspecto válido, en fragmentos guardados. Según su informe, unas 48 horas después alguien intentó usar una de ellas.
La lección no trata de dos sitios concretos. Una función de «guardar» o «compartir» en una herramienta basada en servidor puede convertir tu texto privado en un registro almacenado, enlazable y rastreable, a menudo sin que te des cuenta. Todo lo que envías a una herramienta que almacena datos es tan privado como lo sea su ajuste más débil.
3. ¿Qué tipos de datos son realmente sensibles?
Mucha gente piensa que las contraseñas son sensibles y que todo lo demás es inofensivo. En la práctica, gran parte de los datos de trabajo habituales resultan arriesgados si se entregan al servidor de un desconocido.
| Tipo de dato | Por qué es sensible | Herramienta habitual donde acaba |
|---|---|---|
| Claves de API, tokens, contraseñas | Dan acceso directo a sistemas y cuentas | Formateadores JSON, decodificadores JWT, herramientas Base64 |
| Registros de clientes o empleados | Datos personales protegidos por leyes de privacidad | Visores de JSON, CSV y bases de datos |
| Contratos, facturas, extractos bancarios | Contienen nombres, direcciones y números de cuenta | Herramientas de PDF, conversores |
| Escaneos de documentos de identidad y fotos personales | Pueden usarse para fraude de identidad | Compresores de imágenes, conversores |
| Borradores sin publicar y planes de negocio | Exposición competitiva o legal | Contadores de palabras, limpiadores de texto, conversores de mayúsculas |
| Código fuente y archivos de bases de datos | Pueden contener secretos y lógica propietaria | Formateadores, visores SQLite, generadores de hash |
| Precios, márgenes y modelos financieros | Revelan cómo gana dinero tu negocio | Calculadoras |
Un buen hábito es hacerte una pregunta antes de pegar nada: «¿Me parecería bien que esto apareciera mañana en una página pública?». Si la respuesta es no, usa una herramienta que puedas verificar o no uses ninguna herramienta web.
4. Cómo funcionan por dentro las herramientas solo de navegador
Las herramientas solo de navegador se apoyan en capacidades que los navegadores modernos ya tienen. Entenderlas facilita confiar, o dudar, de lo que afirma una herramienta.
- JavaScript ejecuta la lógica: analizar JSON, contar palabras, calcular la cuota de un préstamo o generar un UUID.
- La File API permite que una página lea un archivo que tú eliges sin subirlo a ninguna parte. El archivo se lee en la memoria de tu navegador.
- La Canvas API puede redimensionar y recodificar imágenes, y así un compresor de imágenes puede reducir un archivo JPG o WebP de forma local.
- La Web Crypto API ofrece funciones criptográficas en el navegador, como números aleatorios seguros para contraseñas y algoritmos de hash como SHA-256.
- WebAssembly permite que tareas más pesadas, como leer una base de datos SQLite o procesar un PDF, se ejecuten en tu dispositivo a una velocidad cercana a la nativa.
Por ejemplo, cuando usas un unificador de PDF en el navegador, la página carga en memoria los archivos que seleccionas, un script junta sus páginas y el navegador ofrece el archivo final como descarga. En ningún momento hace falta subir nada. La misma idea se aplica a un generador de contraseñas: puede crear los caracteres con el generador de números aleatorios seguro de tu navegador, de modo que la contraseña ni se crea en el servidor de otra persona ni se envía desde él.
5. Cómo comprobar la promesa «tus datos siguen siendo privados»
Cualquier sitio web puede decir «nunca vemos tus datos». La buena noticia es que no tienes que creerlo, porque tu navegador te muestra exactamente qué envía una página por la red. Esta prueba rápida funciona en Chrome, Edge, Firefox y Safari.
- Abre la herramienta y espera a que termine de cargar.
- Abre las herramientas de desarrollo de tu navegador (pulsa F12, o Ctrl+Mayús+I en Windows y Cmd+Opción+I en Mac) y cambia a la pestaña Red (Network).
- Vacía la lista y usa la herramienta con una entrada de prueba inofensiva, como un JSON de ejemplo o un archivo ficticio.
- Observa la pestaña Red. Si la herramienta es realmente solo de navegador, no deberías ver ninguna petición que lleve tu entrada o tu archivo a un servidor.
- Haz clic en cualquier petición que aparezca y revisa su sección Payload o Request para ver si contiene tus datos de prueba.
Es normal ver algunas peticiones. Las páginas cargan fuentes, scripts y analítica, y estos no deberían contener tu contenido. Lo que buscas es una petición, normalmente de tipo POST, que incluya el texto o el archivo que acabas de proporcionar.
Una segunda prueba es aún más sencilla. Carga la herramienta, desactiva después tu conexión a internet (usa el modo avión o la opción «Offline» de la pestaña Red) e inténtalo de nuevo. Si sigue funcionando, el procesamiento ocurre en tu dispositivo.
6. Lo que «solo de navegador» no garantiza
Un consejo de privacidad honesto incluye los límites, así que ten presente lo siguiente.
- La página en sí sigue viniendo de un servidor. Cargar un sitio web siempre contacta con su servidor. Solo de navegador significa que tu entrada no se envía para procesarla, no que seas anónimo.
- Pueden seguir funcionando la analítica y la publicidad. Una herramienta puede procesar los datos de forma local e incluir igualmente scripts de terceros. Revisa la pestaña Red y la política de privacidad para ver qué más se carga.
- Confías en el código que descargas. Un sitio malicioso podría afirmar que trabaja en local y subir tus datos en silencio, por eso la prueba de la pestaña Red es importante.
- Tu dispositivo forma parte del cuadro. Las extensiones del navegador pueden leer las páginas, y cualquiera con acceso a tu ordenador puede ver tus descargas y tu historial.
- Los resultados también pueden filtrarse. Si pegas un resultado en un chat, un correo o un repositorio público, la privacidad de la herramienta deja de importar.
El diseño solo de navegador elimina una gran categoría de riesgo, el servidor de terceros que almacena tu entrada. No elimina la necesidad de tener el cuidado habitual.
7. Basada en servidor o solo de navegador: ¿cuál deberías usar?
Algunas tareas sí necesitan un servidor, como convertir un formato de archivo poco común, aplicar OCR a un documento escaneado o usar un modelo de IA. Usa esta tabla para decidir.
| Tu situación | Mejor opción |
|---|---|
| Pegar credenciales, tokens o claves | Solo de navegador, o una herramienta local que controles |
| Trabajar con datos de clientes o empleados | Solo de navegador, o herramientas aprobadas por tu organización |
| Comprimir o unir documentos personales | Solo de navegador |
| Formatear datos públicos o de ejemplo | Cualquiera de las dos sirve |
| Tareas que requieren mucho procesamiento en servidor | Basada en servidor, con un proveedor de confianza y una política de privacidad clara |
| Cualquier cosa sujeta a políticas de la empresa o legales | Cumple primero tu política |
Si tienes que usar una herramienta basada en servidor, busca una política de privacidad clara que indique cuánto tiempo se conservan los datos, si se borran tras el procesamiento y si existe alguna función pública de «guardar», «compartir» o «recientes». Evita guardar o compartir fragmentos que contengan algo que no publicarías.
8. Ejemplos prácticos: tareas habituales y la forma más segura de hacerlas
Formatear el JSON de una respuesta de API. Las respuestas de API suelen contener tokens, direcciones de correo o identificadores internos. Usa un formateador de navegador como el formateador JSON y elimina u oculta los secretos antes de compartir el resultado con nadie.
Unir archivos PDF. Los contratos, los formularios fiscales y los extractos están llenos de datos personales. La herramienta unir PDF junta los archivos en tu dispositivo, así que los documentos no se suben.
Comprimir fotos para un formulario de solicitud. Las fotos de documentos de identidad y los escaneos son justo lo que quieren los ladrones de identidad. El compresor de imágenes reduce las imágenes en tu navegador, sin subirlas a ningún servidor.
Decodificar un JWT. Un JSON Web Token puede contener datos de usuario y, a veces, dar acceso. Decodificarlo en local con el codificador/decodificador JWT es más seguro que enviarlo a un sitio desconocido. Recuerda que un token real y vigente sigue siendo una credencial, así que nunca lo compartas públicamente.
Generar una contraseña. Una contraseña debería crearse donde nadie más pueda verla. El generador de contraseñas la crea en tu navegador, por lo que no se genera en un servidor remoto ni se envía desde él.
9. Una lista de cinco pasos antes de pegar nada
- Clasifica los datos. ¿Son públicos, internos o secretos? Los secretos incluyen claves, contraseñas, tokens y registros personales.
- Elimina lo que no necesites. Sustituye los valores reales por datos ficticios siempre que la herramienta solo necesite la estructura.
- Comprueba cómo funciona la herramienta. Busca una declaración clara de que el procesamiento es local y confírmala con la prueba de la pestaña Red descrita arriba.
- Evita las funciones de guardar y compartir. Si una herramienta ofrece enlaces para compartir o un historial público, asume que lo que se almacene allí podría ser visible para otros.
- Rota lo que ya hayas expuesto. Si pegaste una clave o contraseña real en una herramienta en la que no confías, considérala comprometida, revócala y emite una nueva.
10. Preguntas frecuentes
¿Son seguras las herramientas online?
Depende de la herramienta. Muchas son seguras para datos públicos o de ejemplo, pero una herramienta basada en servidor puede almacenar lo que envías, así que no pegues secretos ni información personal en una a menos que confíes en el operador y entiendas su política de datos.
¿Qué significa «solo de navegador» o «del lado del cliente»?
Significa que el código de la herramienta se ejecuta en tu propio dispositivo, dentro de tu navegador, en lugar de en un servidor remoto. Tu entrada se procesa en local, por lo que no hace falta subirla para que la herramienta funcione.
¿Cómo puedo saber si una herramienta sube mis datos?
Abre las herramientas de desarrollo de tu navegador, ve a la pestaña Red y usa la herramienta con datos de prueba. Si ves una petición que contiene tu entrada o tu archivo, la herramienta lo está enviando a algún sitio. También puedes desconectarte de internet y comprobar si la herramienta sigue funcionando.
¿Es seguro pegar claves de API o contraseñas en un formateador JSON?
Evítalo. Las credenciales están entre lo más dañino que puede filtrarse, y los formateadores basados en servidor pueden almacenar o exponer lo que pegas. Si tienes que trabajar con ellas, usa una herramienta de navegador verificada, oculta los valores antes y rota cualquier clave real que pueda haberse expuesto.
¿Puede una herramienta solo de navegador seguir rastreándome?
Sí. El procesamiento local significa que tu entrada no se sube, pero el sitio puede seguir usando analítica, cookies o scripts publicitarios. Lee la política de privacidad y revisa las peticiones de la pestaña Red para ver qué más carga la página.
¿Necesito registrarme para usar herramientas solo de navegador?
No necesariamente. Como el procesamiento ocurre en tu dispositivo, no hay ninguna razón técnica para exigir una cuenta. Las herramientas de Tooltri no requieren registro.
11. Conclusión: confía, pero verifica
Las herramientas online gratuitas ahorran tiempo y no hay motivo para dejar de usarlas. Lo más seguro es adaptar la herramienta a los datos. Usa herramientas solo de navegador para todo lo privado, mantén los secretos fuera de cualquier servicio que pueda almacenar o compartir tu entrada y dedica dos minutos a la pestaña Red antes de confiar algo importante a una herramienta nueva.
¿Listo para probarlo? Abre el formateador JSON, el compresor de imágenes o unir PDF, haz tú mismo la prueba de la pestaña Red y comprueba que tus datos se quedan donde deben: en tu dispositivo. Si además de datos manejas dinero, combina esta guía con nuestra calculadora de margen de beneficio para fijar los precios de tus productos sin enviar tus cifras a nadie.
