Les outils en ligne sont-ils sûrs avec des données sensibles ? Comment fonctionnent les outils 100 % navigateur

Vous avez un bloc de JSON désordonné, une pile de factures PDF ou une photo de votre pièce d'identité à compresser. Vous cherchez un outil gratuit, vous collez ou téléversez vos données et vous obtenez le résultat en quelques secondes. C'est rapide et pratique, et la plupart des gens ne se demandent jamais où ces données sont passées. Cette question compte pourtant plus qu'il n'y paraît, car les textes et fichiers que nous passons dans des outils en ligne sont souvent ce que nous manipulons de plus sensible : clés d'API, fiches clients, contrats et chiffres financiers.

Ce guide explique ce qui se passe réellement lorsque vous utilisez un outil en ligne, la différence entre les outils côté serveur et les outils 100 % navigateur, et comment vérifier vous-même les promesses de confidentialité de n'importe quel outil en moins de deux minutes. Vous y trouverez aussi une liste de contrôle simple pour décider ce qu'il est prudent de coller et où. Tous les outils cités ici, comme le formateur JSON, le compresseur d'images et fusionner des PDF, fonctionnent dans votre navigateur, ce qui vous permet de suivre avec vos propres données.

1. Que se passe-t-il quand vous collez des données dans un outil en ligne ?

La plupart des outils en ligne gratuits reposent sur l'une de deux conceptions, qui paraissent identiques de l'extérieur.

Les outils côté serveur envoient votre saisie par internet vers un ordinateur appartenant à l'exploitant de l'outil. Ce serveur fait le travail, par exemple formater votre JSON ou fusionner vos PDF, puis renvoie le résultat. Pendant ce trajet, vos données se trouvent sur une infrastructure que vous ne contrôlez pas. Selon la façon dont l'outil est conçu, l'exploitant peut les journaliser, les stocker, les mettre en cache, les sauvegarder ou les transmettre à des services tiers.

Les outils 100 % navigateur (ou côté client) téléchargent leur code une seule fois dans votre navigateur, puis font tout le travail sur votre propre appareil. Votre saisie n'a pas besoin de quitter votre ordinateur, car le navigateur dispose de tout ce qu'il faut pour formater, convertir ou calculer.

Aucune des deux conceptions n'est automatiquement bonne ou mauvaise, et de nombreux outils côté serveur sont gérés avec sérieux. L'essentiel est que, avec un outil côté serveur, vous faites confiance aux promesses de l'exploitant, alors qu'avec un outil 100 % navigateur, la conception elle-même limite ce qui peut mal tourner.

2. Pourquoi coller des données sur n'importe quel site est risqué

Le risque n'est pas théorique. En novembre 2025, des chercheurs en sécurité de watchTowr Labs ont rapporté que deux sites populaires de mise en forme de code, JSONFormatter et CodeBeautify, avaient exposé une énorme quantité de contenus enregistrés par leurs utilisateurs. Les chercheurs ont collecté plus de 80 000 saisies enregistrées, soit plus de 5 Go de données, via les pages publiques « Recent Links » de ces sites et des URL prévisibles pour les extraits partagés.

D'après les chercheurs, ce matériel comprenait des identifiants, des clés cloud, des clés privées, des jetons d'API et des données personnelles appartenant à des organisations de secteurs tels que les administrations, la banque, la santé et les télécoms. Pour vérifier si quelqu'un exploitait cette exposition, les chercheurs ont placé de fausses clés cloud, d'apparence valide, dans des extraits enregistrés. Selon leur rapport, environ 48 heures plus tard, quelqu'un a tenté d'en utiliser une.

La leçon ne concerne pas deux sites en particulier. Une fonction « enregistrer » ou « partager » sur un outil côté serveur peut transformer votre saisie privée en un enregistrement stocké, accessible par lien et récupérable automatiquement, souvent sans que vous vous en rendiez compte. Tout ce que vous envoyez à un outil qui stocke des données n'est aussi privé que son réglage le plus faible.

3. Quelles données sont réellement sensibles ?

On a tendance à penser que les mots de passe sont sensibles et que tout le reste est anodin. En pratique, une grande partie des données de travail ordinaires est risquée à confier au serveur d'un inconnu.

Une bonne habitude consiste à se poser une question avant de coller quoi que ce soit : « Cela me gênerait-il que ceci apparaisse demain sur une page publique ? » Si la réponse est oui, utilisez un outil que vous pouvez vérifier, ou renoncez à l'outil web.

4. Comment fonctionnent les outils 100 % navigateur en coulisses

Les outils 100 % navigateur s'appuient sur des fonctionnalités que les navigateurs modernes possèdent déjà. Les comprendre aide à croire, ou à douter, de ce que prétend un outil.

• JavaScript exécute la logique : analyser du JSON, compter des mots, calculer une mensualité de prêt ou générer un UUID.
• L'API File permet à une page de lire un fichier que vous choisissez sans le téléverser nulle part. Le fichier est lu dans la mémoire de votre navigateur.
• L'API Canvas peut redimensionner et ré-encoder des images, ce qui permet à un compresseur d'images de réduire un fichier JPG ou WebP en local.
• L'API Web Crypto fournit des fonctions cryptographiques dans le navigateur, comme des nombres aléatoires sûrs pour les mots de passe et des algorithmes de hachage tels que SHA-256.
• WebAssembly permet à des tâches plus lourdes, comme lire une base SQLite ou traiter un PDF, de s'exécuter sur votre appareil à une vitesse proche du natif.

Par exemple, quand vous utilisez un outil de fusion de PDF dans le navigateur, la page charge en mémoire les fichiers que vous sélectionnez, un script assemble leurs pages et le navigateur propose le fichier final en téléchargement. Aucun téléversement n'est nécessaire à aucun moment. Le même principe s'applique à un générateur de mots de passe : il peut créer les caractères avec le générateur de nombres aléatoires sécurisé de votre navigateur, de sorte que le mot de passe n'est ni créé sur le serveur de quelqu'un d'autre ni envoyé depuis celui-ci.

5. Comment vérifier la promesse « vos données restent privées »

N'importe quel site peut affirmer « nous ne voyons jamais vos données ». La bonne nouvelle, c'est que vous n'avez pas à le croire sur parole, car votre navigateur vous montre exactement ce qu'une page envoie sur le réseau. Ce test rapide fonctionne dans Chrome, Edge, Firefox et Safari.

1. Ouvrez l'outil et attendez la fin du chargement.
2. Ouvrez les outils de développement de votre navigateur (F12, ou Ctrl+Maj+I sous Windows et Cmd+Option+I sous Mac) et passez à l'onglet Réseau (Network).
3. Videz la liste, puis utilisez l'outil avec une saisie de test inoffensive, comme un exemple de JSON ou un fichier factice.
4. Observez l'onglet Réseau. Si l'outil est vraiment 100 % navigateur, vous ne devriez voir aucune requête transportant votre saisie ou votre fichier vers un serveur.
5. Cliquez sur une requête qui apparaît et examinez sa section Payload ou Request pour voir si elle contient vos données de test.

Voir quelques requêtes est normal. Les pages chargent des polices, des scripts et des outils d'analyse, et ceux-ci ne devraient pas contenir votre contenu. Ce que vous cherchez, c'est une requête, généralement de type POST, qui inclut le texte ou le fichier que vous venez de fournir.

Un second test est encore plus simple. Chargez l'outil, coupez ensuite votre connexion internet (mode avion ou option « Hors connexion » de l'onglet Réseau) et réessayez. S'il fonctionne toujours, le traitement se fait sur votre appareil.

6. Ce que « 100 % navigateur » ne garantit pas

Un conseil honnête sur la confidentialité mentionne aussi les limites. Gardez donc ceci en tête.

• La page elle-même vient toujours d'un serveur. Charger un site web contacte toujours son hébergeur. 100 % navigateur signifie que votre saisie n'est pas envoyée pour être traitée, pas que vous êtes anonyme.
• L'analyse et la publicité peuvent quand même fonctionner. Un outil peut traiter les données en local et inclure malgré tout des scripts tiers. Consultez l'onglet Réseau et la politique de confidentialité pour voir ce qui se charge d'autre.
• Vous faites confiance au code que vous téléchargez. Un site malveillant pourrait prétendre fonctionner en local et envoyer discrètement vos données, c'est pourquoi le test de l'onglet Réseau compte.
• Votre appareil fait partie du tableau. Les extensions de navigateur peuvent lire les pages, et toute personne ayant accès à votre ordinateur peut voir vos téléchargements et votre historique.
• Les résultats peuvent tout de même fuiter. Si vous collez un résultat dans un chat, un e-mail ou un dépôt public, la confidentialité de l'outil n'a plus d'importance.

La conception 100 % navigateur supprime une grande catégorie de risque, le serveur tiers qui stocke votre saisie. Elle ne supprime pas la nécessité d'une prudence ordinaire.

7. Côté serveur ou 100 % navigateur : lequel utiliser ?

Certaines tâches nécessitent vraiment un serveur, comme convertir un format de fichier rare, faire de la reconnaissance de texte (OCR) sur un document scanné ou utiliser un modèle d'IA. Utilisez ce tableau pour décider.

Si vous devez utiliser un outil côté serveur, cherchez une politique de confidentialité claire indiquant combien de temps les données sont conservées, si elles sont supprimées après traitement et s'il existe une fonction publique d'« enregistrement », de « partage » ou de « récents ». Évitez d'enregistrer ou de partager des extraits contenant quoi que ce soit que vous ne publieriez pas.

8. Exemples pratiques : tâches courantes et manière plus sûre de les réaliser

Formater le JSON d'une réponse d'API. Les réponses d'API contiennent souvent des jetons, des adresses e-mail ou des identifiants internes. Utilisez un formateur navigateur comme le formateur JSON et retirez ou masquez les secrets avant de partager le résultat avec qui que ce soit.

Fusionner des fichiers PDF. Les contrats, formulaires fiscaux et relevés regorgent de données personnelles. L'outil fusionner des PDF assemble les fichiers sur votre appareil, les documents ne sont donc pas téléversés.

Compresser des photos pour un dossier de candidature. Les photos d'identité et les scans sont exactement ce que veulent les usurpateurs d'identité. Le compresseur d'images réduit les images dans votre navigateur, sans téléversement vers un serveur.

Décoder un JWT. Un JSON Web Token peut contenir des données utilisateur et parfois donner accès à un service. Le décoder en local avec l'encodeur/décodeur JWT est plus sûr que de l'envoyer à un site inconnu. N'oubliez pas qu'un jeton réel et non expiré reste un identifiant, ne le partagez donc jamais publiquement.

Générer un mot de passe. Un mot de passe doit être créé là où personne d'autre ne peut le voir. Le générateur de mots de passe le crée dans votre navigateur, il n'est donc ni généré sur un serveur distant ni envoyé depuis celui-ci.

9. Une liste de contrôle en cinq étapes avant de coller quoi que ce soit

1. Classez les données. Sont-elles publiques, internes ou secrètes ? Les secrets comprennent les clés, mots de passe, jetons et fiches personnelles.
2. Retirez ce qui n'est pas nécessaire. Remplacez les valeurs réelles par des valeurs factices dès que l'outil n'a besoin que de la structure.
3. Vérifiez comment l'outil fonctionne. Cherchez une déclaration claire indiquant que le traitement est local, puis confirmez-la avec le test de l'onglet Réseau décrit plus haut.
4. Évitez les fonctions d'enregistrement et de partage. Si un outil propose des liens partageables ou un historique public, supposez que tout ce qui y est stocké pourrait être visible par d'autres.
5. Renouvelez ce que vous avez déjà exposé. Si vous avez collé une vraie clé ou un vrai mot de passe dans un outil en lequel vous n'avez pas confiance, considérez-le comme compromis, révoquez-le et créez-en un nouveau.

10. Questions fréquentes

Les outils en ligne sont-ils sûrs ?

Cela dépend de l'outil. Beaucoup sont sûrs pour des données publiques ou d'exemple, mais un outil côté serveur peut stocker ce que vous envoyez. Ne collez donc pas de secrets ni d'informations personnelles dans l'un d'eux, sauf si vous faites confiance à l'exploitant et comprenez sa politique de données.

Que signifie « 100 % navigateur » ou « côté client » ?

Cela signifie que le code de l'outil s'exécute sur votre propre appareil, dans votre navigateur, plutôt que sur un serveur distant. Votre saisie est traitée en local, elle n'a donc pas besoin d'être téléversée pour que l'outil fonctionne.

Comment savoir si un outil téléverse mes données ?

Ouvrez les outils de développement de votre navigateur, allez dans l'onglet Réseau et utilisez l'outil avec des données de test. Si vous voyez une requête contenant votre saisie ou votre fichier, l'outil l'envoie quelque part. Vous pouvez aussi couper votre connexion internet et vérifier si l'outil fonctionne encore.

Est-il sûr de coller des clés d'API ou des mots de passe dans un formateur JSON ?

Évitez-le. Les identifiants font partie des choses les plus dommageables à laisser fuiter, et les formateurs côté serveur peuvent stocker ou exposer ce que vous collez. Si vous devez les manipuler, utilisez un outil navigateur vérifié, masquez les valeurs au préalable et renouvelez toute vraie clé qui aurait pu être exposée.

Un outil 100 % navigateur peut-il quand même me suivre à la trace ?

Oui. Le traitement local signifie que votre saisie n'est pas téléversée, mais le site peut toujours utiliser des outils d'analyse, des cookies ou des scripts publicitaires. Lisez la politique de confidentialité et examinez les requêtes de l'onglet Réseau pour voir ce que la page charge d'autre.

Dois-je m'inscrire pour utiliser des outils 100 % navigateur ?

Pas nécessairement. Comme le traitement se fait sur votre appareil, il n'y a aucune raison technique d'exiger un compte. Les outils Tooltri ne nécessitent aucune inscription.

11. Conclusion : faites confiance, mais vérifiez

Les outils en ligne gratuits font gagner du temps, et rien ne justifie de cesser de les utiliser. L'approche la plus sûre consiste à adapter l'outil aux données. Utilisez des outils 100 % navigateur pour tout ce qui est privé, gardez les secrets hors de tout service pouvant stocker ou partager votre saisie, et consacrez deux minutes à l'onglet Réseau avant de confier quelque chose d'important à un nouvel outil.

Prêt à essayer ? Ouvrez le formateur JSON, le compresseur d'images ou fusionner des PDF, faites vous-même le test de l'onglet Réseau et constatez que vos données restent là où elles doivent rester : sur votre appareil. Si vous manipulez de l'argent autant que des données, associez ce guide à notre calculateur de marge bénéficiaire pour fixer vos prix sans envoyer vos chiffres à personne.