Công cụ trực tuyến có an toàn với dữ liệu nhạy cảm không? Cách công cụ chạy trong trình duyệt hoạt động

Bạn có một đoạn JSON lộn xộn, một chồng hóa đơn PDF hoặc một bức ảnh căn cước cần nén nhỏ lại. Bạn tìm một công cụ miễn phí, dán hoặc tải dữ liệu lên và có kết quả sau vài giây. Cách này nhanh và tiện, và hầu hết mọi người chưa bao giờ tự hỏi dữ liệu của mình đã đi đâu. Câu hỏi đó quan trọng hơn bạn nghĩ, vì văn bản và tệp chúng ta đưa qua công cụ trực tuyến thường là thứ nhạy cảm nhất mà ta xử lý: khóa API, hồ sơ khách hàng, hợp đồng và số liệu tài chính.

Hướng dẫn này giải thích điều thực sự xảy ra khi bạn dùng một công cụ trực tuyến, sự khác biệt giữa công cụ chạy trên máy chủ và công cụ chỉ chạy trong trình duyệt, cũng như cách tự kiểm tra lời cam kết về quyền riêng tư của bất kỳ công cụ nào trong chưa đầy hai phút. Bạn cũng sẽ có một danh sách kiểm tra đơn giản để quyết định nên dán gì ở đâu. Mọi công cụ được nhắc đến ở đây, như Định dạng JSON, Nén ảnh và Gộp PDF, đều chạy trong trình duyệt của bạn, nên bạn có thể làm theo bằng chính dữ liệu của mình.

1. Điều gì xảy ra khi bạn dán dữ liệu vào một công cụ trực tuyến?

Phần lớn công cụ trực tuyến miễn phí được xây dựng theo một trong hai cách, và nhìn từ bên ngoài thì chúng giống hệt nhau.

Công cụ chạy trên máy chủ gửi dữ liệu bạn nhập qua internet đến một máy tính của đơn vị vận hành công cụ. Máy chủ đó thực hiện công việc, chẳng hạn định dạng JSON hay gộp PDF của bạn, rồi gửi kết quả về. Trong suốt hành trình ấy, dữ liệu của bạn nằm trên hạ tầng mà bạn không kiểm soát. Tùy cách công cụ được xây dựng, đơn vị vận hành có thể ghi nhật ký, lưu trữ, lưu đệm, sao lưu hoặc chuyển dữ liệu cho dịch vụ của bên thứ ba.

Công cụ chỉ chạy trong trình duyệt (còn gọi là công cụ phía máy khách) tải mã của chúng về trình duyệt một lần, sau đó thực hiện toàn bộ công việc ngay trên thiết bị của bạn. Dữ liệu bạn nhập không cần rời khỏi máy tính, vì chính trình duyệt đã có mọi thứ cần thiết để định dạng, chuyển đổi hoặc tính toán.

Không cách nào mặc nhiên tốt hay xấu, và nhiều công cụ chạy trên máy chủ được vận hành rất có trách nhiệm. Điểm mấu chốt là: với công cụ chạy trên máy chủ, bạn tin vào lời hứa của đơn vị vận hành, còn với công cụ chỉ chạy trong trình duyệt, chính thiết kế đã giới hạn những gì có thể đi sai.

2. Vì sao dán dữ liệu vào các website bất kỳ lại rủi ro

Rủi ro này không phải lý thuyết. Vào tháng 11 năm 2025, các nhà nghiên cứu bảo mật tại watchTowr Labs báo cáo rằng hai trang định dạng mã phổ biến là JSONFormatter và CodeBeautify đã làm lộ một lượng rất lớn nội dung do người dùng lưu. Các nhà nghiên cứu thu thập hơn 80.000 mục đã lưu, hơn 5 GB dữ liệu, thông qua các trang «Recent Links» công khai của hai trang này và các URL có thể đoán trước dành cho đoạn mã được chia sẻ.

Theo các nhà nghiên cứu, số tài liệu đó bao gồm thông tin đăng nhập, khóa đám mây, khóa riêng tư, token API và dữ liệu cá nhân của các tổ chức thuộc những lĩnh vực như chính phủ, ngân hàng, y tế và viễn thông. Để kiểm tra xem có ai khai thác lỗ hổng này không, họ đặt các khóa đám mây giả nhưng trông hợp lệ vào những đoạn mã đã lưu. Theo báo cáo, khoảng 48 giờ sau, có người đã thử dùng một trong số đó.

Bài học không nằm ở hai trang cụ thể nào. Một tính năng «lưu» hoặc «chia sẻ» trên công cụ chạy trên máy chủ có thể biến nội dung riêng tư của bạn thành một bản ghi được lưu trữ, có liên kết và có thể bị quét tự động, thường mà bạn không hề hay biết. Mọi thứ bạn gửi đến một công cụ có lưu trữ dữ liệu chỉ riêng tư ở mức cài đặt yếu nhất của nó.

3. Những loại dữ liệu nào thực sự nhạy cảm?

Nhiều người nghĩ mật khẩu mới nhạy cảm còn mọi thứ khác đều vô hại. Trên thực tế, rất nhiều dữ liệu công việc thông thường cũng rủi ro nếu giao cho máy chủ của một người lạ.

Một thói quen hữu ích là tự hỏi một câu trước khi dán bất cứ thứ gì: «Mình có thoải mái không nếu thứ này xuất hiện trên một trang công khai vào ngày mai?». Nếu câu trả lời là không, hãy dùng công cụ mà bạn có thể kiểm chứng, hoặc đừng dùng công cụ web nào cả.

4. Công cụ chỉ chạy trong trình duyệt hoạt động ra sao bên trong

Các công cụ chỉ chạy trong trình duyệt dựa vào những khả năng mà trình duyệt hiện đại vốn đã có. Hiểu chúng giúp bạn dễ tin hoặc nghi ngờ lời một công cụ tuyên bố.

• JavaScript chạy phần logic: phân tích JSON, đếm từ, tính khoản trả góp hay tạo UUID.
• File API cho phép một trang đọc tệp bạn chọn mà không tải nó lên bất kỳ đâu. Tệp được đọc vào bộ nhớ của trình duyệt.
• Canvas API có thể đổi kích thước và mã hóa lại ảnh, nhờ vậy công cụ nén ảnh có thể thu nhỏ tệp JPG hoặc WebP ngay trên máy.
• Web Crypto API cung cấp các hàm mật mã trong trình duyệt, như số ngẫu nhiên an toàn cho mật khẩu và các thuật toán băm như SHA-256.
• WebAssembly cho phép các tác vụ nặng hơn, như đọc cơ sở dữ liệu SQLite hay xử lý PDF, chạy trên thiết bị của bạn với tốc độ gần như gốc.

Ví dụ, khi bạn dùng công cụ gộp PDF trong trình duyệt, trang nạp các tệp bạn chọn vào bộ nhớ, một đoạn mã ghép các trang lại và trình duyệt cho bạn tải tệp hoàn chỉnh về. Không bước nào cần tải lên. Ý tưởng tương tự áp dụng cho công cụ tạo mật khẩu: nó có thể tạo ký tự bằng bộ sinh số ngẫu nhiên an toàn của trình duyệt, nên mật khẩu không được tạo ra trên, cũng như không được gửi từ, máy chủ của người khác.

5. Cách kiểm chứng lời cam kết «dữ liệu của bạn được giữ riêng tư»

Website nào cũng có thể nói «chúng tôi không bao giờ thấy dữ liệu của bạn». Tin vui là bạn không cần tin suông, vì trình duyệt cho bạn thấy chính xác trang web gửi gì qua mạng. Bài kiểm tra nhanh này dùng được trên Chrome, Edge, Firefox và Safari.

1. Mở công cụ và đợi tải xong hoàn toàn.
2. Mở công cụ dành cho nhà phát triển của trình duyệt (nhấn F12, hoặc Ctrl+Shift+I trên Windows và Cmd+Option+I trên Mac) rồi chuyển sang thẻ Mạng (Network).
3. Xóa danh sách, sau đó dùng công cụ với một dữ liệu thử vô hại, như một đoạn JSON mẫu hoặc một tệp giả.
4. Quan sát thẻ Mạng. Nếu công cụ thực sự chỉ chạy trong trình duyệt, bạn sẽ không thấy yêu cầu nào mang dữ liệu hoặc tệp của bạn đến một máy chủ.
5. Nhấp vào bất kỳ yêu cầu nào xuất hiện và xem mục Payload hoặc Request để biết có chứa dữ liệu thử của bạn hay không.

Thấy một số yêu cầu là bình thường. Các trang tải phông chữ, tập lệnh và công cụ phân tích, và những thứ này không nên chứa nội dung của bạn. Điều bạn cần tìm là một yêu cầu, thường là POST, có chứa văn bản hoặc tệp bạn vừa cung cấp.

Bài kiểm tra thứ hai còn đơn giản hơn. Tải công cụ, sau đó tắt kết nối internet (dùng chế độ máy bay hoặc tùy chọn «Offline» trong thẻ Mạng) rồi thử lại. Nếu vẫn chạy được, việc xử lý đang diễn ra trên thiết bị của bạn.

6. Những điều «chỉ chạy trong trình duyệt» không đảm bảo

Lời khuyên trung thực về quyền riêng tư phải nêu cả giới hạn, vì vậy hãy lưu ý những điểm sau.

• Bản thân trang web vẫn đến từ một máy chủ. Tải một website luôn liên hệ với máy chủ của nó. Chỉ chạy trong trình duyệt nghĩa là dữ liệu bạn nhập không bị gửi đi để xử lý, không phải là bạn ẩn danh.
• Phân tích và quảng cáo vẫn có thể chạy. Một công cụ có thể xử lý dữ liệu cục bộ mà vẫn nhúng tập lệnh của bên thứ ba. Hãy xem thẻ Mạng và chính sách quyền riêng tư để biết còn gì khác được tải.
• Bạn tin vào đoạn mã mình tải về. Một trang độc hại có thể nhận là chạy cục bộ nhưng âm thầm tải dữ liệu của bạn lên, đó là lý do bài kiểm tra thẻ Mạng quan trọng.
• Thiết bị của bạn cũng là một phần của bức tranh. Tiện ích mở rộng của trình duyệt có thể đọc các trang, và bất kỳ ai có quyền truy cập máy tính của bạn đều có thể xem các tệp tải xuống và lịch sử.
• Kết quả vẫn có thể bị rò rỉ. Nếu bạn dán kết quả vào một cuộc trò chuyện, email hoặc kho mã công khai, quyền riêng tư của công cụ không còn ý nghĩa.

Thiết kế chỉ chạy trong trình duyệt loại bỏ một nhóm rủi ro lớn, đó là máy chủ bên thứ ba lưu dữ liệu bạn nhập. Nó không loại bỏ nhu cầu cẩn trọng thông thường.

7. Công cụ chạy trên máy chủ hay chỉ chạy trong trình duyệt: nên dùng loại nào?

Một số việc thực sự cần máy chủ, như chuyển đổi một định dạng tệp hiếm gặp, nhận dạng văn bản (OCR) trên tài liệu quét hoặc dùng mô hình AI. Hãy dùng bảng này để quyết định.

Nếu buộc phải dùng công cụ chạy trên máy chủ, hãy tìm chính sách quyền riêng tư rõ ràng nêu dữ liệu được giữ bao lâu, có bị xóa sau khi xử lý không và có tính năng công khai nào như «lưu», «chia sẻ» hoặc «gần đây» không. Tránh lưu hoặc chia sẻ các đoạn mã chứa bất cứ thứ gì bạn sẽ không công bố.

8. Ví dụ thực tế: các việc thường gặp và cách làm an toàn hơn

Định dạng JSON từ phản hồi API. Phản hồi API thường chứa token, địa chỉ email hoặc ID nội bộ. Hãy dùng công cụ định dạng chạy trong trình duyệt như Định dạng JSON và xóa hoặc che các bí mật trước khi chia sẻ kết quả với bất kỳ ai.

Gộp tệp PDF. Hợp đồng, biểu mẫu thuế và sao kê chứa đầy thông tin cá nhân. Công cụ Gộp PDF ghép các tệp ngay trên thiết bị của bạn, nên tài liệu không bị tải lên.

Nén ảnh để nộp hồ sơ. Ảnh giấy tờ tùy thân và ảnh quét chính là thứ kẻ trộm danh tính muốn có. Công cụ Nén ảnh thu nhỏ ảnh trong trình duyệt của bạn, không cần tải lên máy chủ.

Giải mã JWT. JSON Web Token có thể mang dữ liệu người dùng và đôi khi cấp quyền truy cập. Giải mã cục bộ bằng Mã hóa/Giải mã JWT an toàn hơn gửi nó đến một trang lạ. Hãy nhớ rằng token thật còn hiệu lực vẫn là một thông tin xác thực, vì vậy đừng bao giờ chia sẻ công khai.

Tạo mật khẩu. Mật khẩu nên được tạo ở nơi không ai khác nhìn thấy. Công cụ Tạo mật khẩu tạo nó ngay trong trình duyệt, nên mật khẩu không được tạo trên, cũng như không được gửi từ, một máy chủ từ xa.

9. Danh sách kiểm tra năm bước trước khi dán bất cứ thứ gì

1. Phân loại dữ liệu. Dữ liệu công khai, nội bộ hay bí mật? Bí mật gồm khóa, mật khẩu, token và hồ sơ cá nhân.
2. Xóa những gì không cần. Thay giá trị thật bằng giá trị giả mỗi khi công cụ chỉ cần cấu trúc.
3. Kiểm tra cách công cụ hoạt động. Tìm tuyên bố rõ ràng rằng việc xử lý diễn ra cục bộ, rồi xác nhận bằng bài kiểm tra thẻ Mạng ở trên.
4. Tránh các tính năng lưu và chia sẻ. Nếu công cụ có liên kết chia sẻ hoặc lịch sử công khai, hãy cho rằng mọi thứ được lưu ở đó có thể bị người khác thấy.
5. Đổi mới những gì bạn đã để lộ. Nếu bạn đã dán khóa hoặc mật khẩu thật vào một công cụ mình không tin tưởng, hãy coi nó đã bị lộ, thu hồi và cấp cái mới.

10. Câu hỏi thường gặp

Công cụ trực tuyến có an toàn không?

Tùy từng công cụ. Nhiều công cụ an toàn với dữ liệu công khai hoặc dữ liệu mẫu, nhưng công cụ chạy trên máy chủ có thể lưu những gì bạn gửi, vì vậy đừng dán bí mật hay thông tin cá nhân vào đó trừ khi bạn tin đơn vị vận hành và hiểu chính sách dữ liệu của họ.

«Chỉ chạy trong trình duyệt» hay «phía máy khách» nghĩa là gì?

Nghĩa là mã của công cụ chạy trên chính thiết bị của bạn, bên trong trình duyệt, thay vì trên máy chủ từ xa. Dữ liệu bạn nhập được xử lý cục bộ, nên không cần tải lên để công cụ hoạt động.

Làm sao biết một công cụ có tải dữ liệu của tôi lên không?

Mở công cụ dành cho nhà phát triển của trình duyệt, vào thẻ Mạng và dùng công cụ với dữ liệu thử. Nếu bạn thấy một yêu cầu chứa dữ liệu hoặc tệp của mình, công cụ đang gửi nó đi đâu đó. Bạn cũng có thể ngắt internet và xem công cụ còn hoạt động không.

Dán khóa API hoặc mật khẩu vào công cụ định dạng JSON có an toàn không?

Hãy tránh. Thông tin xác thực là một trong những thứ gây hại nhất khi bị lộ, và công cụ định dạng chạy trên máy chủ có thể lưu hoặc làm lộ những gì bạn dán. Nếu buộc phải làm việc với chúng, hãy dùng công cụ trình duyệt đã được kiểm chứng, che các giá trị trước và đổi mới mọi khóa thật có thể đã bị lộ.

Công cụ chỉ chạy trong trình duyệt vẫn có thể theo dõi tôi không?

Có. Xử lý cục bộ nghĩa là dữ liệu bạn nhập không bị tải lên, nhưng trang web vẫn có thể dùng công cụ phân tích, cookie hoặc tập lệnh quảng cáo. Hãy đọc chính sách quyền riêng tư và xem các yêu cầu trong thẻ Mạng để biết trang còn tải gì khác.

Tôi có cần đăng ký để dùng công cụ chỉ chạy trong trình duyệt không?

Không nhất thiết. Vì việc xử lý diễn ra trên thiết bị của bạn, không có lý do kỹ thuật nào để bắt buộc tài khoản. Các công cụ của Tooltri không cần đăng ký.

11. Kết luận: tin tưởng, nhưng hãy kiểm chứng

Công cụ trực tuyến miễn phí giúp tiết kiệm thời gian, và không có lý do gì để ngừng dùng chúng. Cách an toàn hơn là chọn công cụ phù hợp với dữ liệu. Hãy dùng công cụ chỉ chạy trong trình duyệt cho mọi thứ riêng tư, giữ bí mật tránh xa mọi dịch vụ có thể lưu hoặc chia sẻ dữ liệu bạn nhập, và dành hai phút cho thẻ Mạng trước khi giao điều quan trọng cho một công cụ mới.

Sẵn sàng thử chưa? Hãy mở Định dạng JSON, Nén ảnh hoặc Gộp PDF, tự làm bài kiểm tra thẻ Mạng và thấy dữ liệu của bạn ở lại đúng nơi nó thuộc về: trên thiết bị của bạn. Nếu ngoài dữ liệu bạn còn làm việc với tiền, hãy kết hợp hướng dẫn này với công cụ Tính biên lợi nhuận của chúng tôi để định giá sản phẩm mà không phải gửi số liệu cho bất kỳ ai.