Política de privacidade

• As ferramentas são executadas no seu navegador. As chaves, os tokens, os certificados e os documentos que você cola nelas são processados no seu dispositivo e não são enviados para nós.
• 27 ferramentas enviam dados públicos — um domínio, uma URL, um endereço, uma chave pública — e só quando você clica no botão que faz isso. Elas estão listadas abaixo, com o que enviam e para onde isso vai.
• Só armazenamos um endereço de e-mail quando você o fornece a nós: para a newsletter, os alertas de certificado, a lista de espera ou uma conta.
• Não há publicidade, rastreamento nem venda de dados. Os únicos cookies são os que mantêm você conectado.
• As visitas são contadas com o Vercel Web Analytics, que não usa cookies e recebe os endereços das páginas sem a query string e sem o fragmento.
• Você pode exportar ou excluir seus dados por conta própria ou escrever para privacy@ecdsa.com.

O ecdsa.com é operado por KeepFlow L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E. (“nós”, “nos”). Decidimos por que e como os dados descritos aqui são tratados, e somos responsáveis por eles.

Para qualquer assunto sobre seus dados ou sobre esta política, escreva para privacy@ecdsa.com.

Toda ferramenta é executada no seu dispositivo, a menos que a página dela diga o contrário. O que você digita ou cola em uma ferramenta é processado por código no seu navegador e não é enviado ao ecdsa.com nem a mais ninguém. As exceções são as ferramentas da próxima seção, e elas enviam apenas o que está descrito lá.

• Os links de compartilhamento guardam o estado de uma ferramenta na parte do endereço que vem depois de #s=. Os navegadores não enviam essa parte a nenhum servidor, e a função de compartilhamento deixa de fora campos privados, como chaves privadas.
• A busca do site (⌘K) baixa o índice dela e faz a busca no seu navegador: o que você digita na caixa de busca não é enviado.
• A caixa da página inicial que reconhece a entrada colada faz isso no seu navegador e abre a ferramenta correspondente com a entrada na parte de compartilhamento do endereço.
• O site pode ser instalado e usado offline: seu navegador guarda cópias das páginas e dos scripts dele. Elas não contêm nada do que você digitou.

Alguns recursos guardam informações no armazenamento local do seu navegador. Esse armazenamento fica no seu dispositivo e nunca é enviado para nós; limpar os dados do site no seu navegador o apaga.

27 ferramentas precisam de dados que um navegador não consegue obter sozinho. Cada uma só faz o envio quando você clica no botão dela, e envia apenas o que está listado aqui. A lista é gerada a partir das declarações das próprias ferramentas, e a página de cada ferramenta repete a declaração dela ao lado do botão.

Quando uma ferramenta contata outro serviço diretamente do seu navegador, esse serviço vê seu endereço IP e os detalhes do navegador como em qualquer visita, sob a própria política de privacidade dele. Quando uma ferramenta passa pelo nosso servidor, o outro serviço vê o nosso servidor em vez de você.

• Verificador de reutilização de nonce (Nonce Reuse Checker)

  Envia:

  • um endereço Bitcoin

  Para:

  • ecdsa.com (nosso servidor)

  Esta ferramenta consulta a API pública do mempool.space — o endereço que você digitar é enviado ao nosso servidor e, de lá, ao mempool.space. Nenhuma chave ou assinatura sua está envolvida.

• Verificador de JWKS e OIDC (JWKS & OIDC Checker)

  Envia:

  • uma URL

  Para:

  • ecdsa.com (nosso servidor)

  Esta verificação roda no nosso servidor: só um endereço — uma URL https ou um nome de domínio — é enviado ao ecdsa.com, que faz a busca para você (de qualquer forma, um navegador não consegue buscar o JWKS de terceiros — o CORS impede). Todo o resto que você digita fica no seu navegador, e nada é armazenado.

• Verificador de chaves fracas (Weak Key Checker)

  Envia:

  • uma chave pública ou a impressão digital dela

  Para:

  • ecdsa.com (nosso servidor)

  As verificações rodam no seu navegador. Só quando você clica em “Verificar no servidor” é que o hash do badkeys de cada chave pública e os módulos RSA são enviados ao ecdsa.com — nunca uma chave privada.

• Gerador de registros CAA (CAA Record Generator)

  Envia:

  • um nome de domínio

  Para:

  • cloudflare-dns.com
  • dns.google

  A geração de registros e a verificação de registros colados acontecem no seu navegador. “Verificar DNS” envia o nome de domínio — e os nomes dos domínios pai, à medida que a consulta CAA sobe na hierarquia — ao resolvedor DNS-over-HTTPS que você escolher (Cloudflare ou Google). Nada mais é enviado, e nossos servidores não recebem nada.

• Gerador de registros TLSA (TLSA Record Generator)

  Envia:

  • um nome de domínio

  Para:

  • cloudflare-dns.com
  • dns.google

  Os certificados são lidos e os registros são calculados no seu navegador. “Consultar no DNS” envia o nome do registro (por exemplo, _25._tcp.mail.example.com) ao resolvedor DNS-over-HTTPS que você escolher (Cloudflare ou Google); certificados e registros colados nunca são enviados a lugar nenhum.

• Inspetor de DNSSEC (DNSSEC Inspector)

  Envia:

  • um nome de domínio

  Para:

  • cloudflare-dns.com
  • dns.google

  As assinaturas são verificadas no seu navegador. Inspecionar um nome envia consultas DNS sobre ele, as zonas pai e as chaves delas ao resolvedor DNS-over-HTTPS que você escolher (Cloudflare ou Google), e nada mais; nossos servidores não recebem nada.

• Verificação pós-quântica do navegador (Post-Quantum Browser Check)

  Envia:

  • o que a declaração dela indica

  Para:

  • pq.cloudflareresearch.com
  • www.cloudflare.com

  Clicar em “Verificar meu navegador” faz duas requisições do seu navegador para a Cloudflare (pq.cloudflareresearch.com e www.cloudflare.com/cdn-cgi/trace), sem cookies; a Cloudflare vê a requisição como vê qualquer visita. Nada desta página é enviado, e seu endereço IP que vem na resposta nunca é exibido nem colocado em um link.

• Impressão digital TLS JA4 (TLS Fingerprint)

  Envia:

  • o que a declaração dela indica

  Para:

  • ecdsa.com (nosso servidor)

  O botão “Mostrar minha impressão digital” pede ao próprio servidor do ecdsa.com o JA4 que a rede de borda da Vercel calculou para esta conexão; nada é enviado com a requisição, e a impressão digital não é armazenada nem registrada em logs. As impressões digitais e os ClientHellos que você colar são lidos no seu navegador.

• Verificador de domínios em lote (Bulk Domain Checker)

  Envia:

  • um nome de domínio

  Para:

  • ecdsa.com (nosso servidor)

  A lista é lida no seu navegador. Clicar em Verificar envia cada nome de domínio para a API pública do ecdsa.com (/api/v1/health), que se conecta a esse domínio na porta 443 e mantém o resultado em cache por uma hora; nada mais é enviado.

• Depurador de DKIM (DKIM Debugger)

  Envia:

  • um nome de domínio

  Para:

  • cloudflare-dns.com

  Sua mensagem nunca sai deste navegador. Apenas os nomes das chaves que as assinaturas indicam (seletor._domainkey.domínio) são enviados ao resolvedor DNS-over-HTTPS da Cloudflare, e só quando você clica no botão que faz a consulta.

• Visualizador de cadeia ARC (ARC Chain Viewer)

  Envia:

  • um nome de domínio

  Para:

  • cloudflare-dns.com

  Sua mensagem nunca sai deste navegador. Apenas os nomes das chaves que os selos e as assinaturas indicam (seletor._domainkey.domínio) são enviados ao resolvedor DNS-over-HTTPS da Cloudflare, e só quando você clica no botão que faz a consulta.

• Gerador de registros DKIM (DKIM Record Generator)

  Envia:

  • um nome de domínio

  Para:

  • cloudflare-dns.com

  As chaves são geradas neste navegador; a chave privada nunca é enviada nem incluída em um link de compartilhamento. Apenas o nome do registro (seletor._domainkey.domínio) é enviado ao resolvedor DNS-over-HTTPS da Cloudflare, e só quando você clica em “Verificar DNS”.

• Inspetor de EIP-712 (EIP-712 Inspector)

  Envia:

  • um endereço Ethereum

  Para:

  51 serviços públicos

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Os dados tipados ficam neste navegador. Só quando você clica em “Verificar on-chain” os endereços do spender e do operador são enviados a um nó RPC público da cadeia do domínio (indicado ao lado do botão), para saber se são contratos.

• Verificador de assinaturas Ethereum (Ethereum Signature Verifier)

  Envia:

  • um endereço Ethereum
  • uma assinatura
  • um hash de mensagem

  Para:

  51 serviços públicos

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Mensagens e assinaturas são verificadas neste navegador. Só quando você clica em “Verificar on-chain” o endereço da carteira, o digest de 32 bytes e a assinatura são enviados a um nó RPC público da cadeia que você escolher (indicado ao lado do botão). Frases de recuperação e chaves privadas são recusadas, nunca processadas.

• Verificador de SIWE (SIWE Verifier)

  Envia:

  • um endereço Ethereum
  • uma assinatura
  • um hash de mensagem

  Para:

  51 serviços públicos

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  A mensagem e a assinatura são verificadas neste navegador. Só quando você clica em “Verificar on-chain” o endereço, o digest EIP-191 e a assinatura são enviados a um nó RPC público da cadeia da mensagem (indicado ao lado do botão).

• Hash de transação Safe (Safe Transaction Hash)

  Envia:

  • um endereço Ethereum
  • os campos de uma transação

  Para:

  51 serviços públicos

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Os hashes, a decodificação e as verificações de risco rodam neste navegador. Só quando você clica em “Verificar on-chain” o endereço do Safe e todos os campos da transação, inclusive o calldata, são enviados a um nó RPC público da cadeia que você escolher (indicado ao lado do botão).

• Decodificador de transações Ethereum (Ethereum Transaction Decoder)

  Envia:

  • um hash de transação
  • um endereço Ethereum

  Para:

  51 serviços públicos

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  A decodificação roda no seu navegador. Só quando você clica em um botão de consulta, a página envia um hash de transação ou o endereço do destinatário a um nó RPC público da rede escolhida (ou à sua própria URL de RPC) — nunca a transação que você colou.

• Decodificador de delegações EIP-7702 (EIP-7702 Delegation Decoder)

  Envia:

  • um endereço Ethereum

  Para:

  51 serviços públicos

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  A decodificação roda no seu navegador. Só quando você clica em um botão de consulta a página envia endereços de contas (os signatários, o remetente ou um delegado) para um nó RPC público da rede escolhida ou para sua própria URL de RPC.

• Verificador de reutilização de nonce no Ethereum (Ethereum Nonce Reuse Checker)

  Envia:

  • um endereço Ethereum
  • um hash de transação

  Para:

  23 serviços públicos

  • 1rpc.io
  • base-sepolia-rpc.publicnode.com
  • base-sepolia.blockscout.com
  • cloudflare-eth.com
  • eth-hoodi.blockscout.com
  • eth-sepolia.blockscout.com
  • eth.blockscout.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • gnosis-rpc.publicnode.com
  • gnosis.blockscout.com
  • mainnet.optimism.io
  • optimism-rpc.publicnode.com
  • optimism.blockscout.com
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.scroll.io
  • scroll-rpc.publicnode.com
  • scroll.blockscout.com
  • sepolia.base.org
  • sepolia.drpc.org

  As transações coladas são verificadas no seu navegador. A varredura, iniciada apenas pelo botão correspondente, envia o endereço a um explorador Blockscout e, em seguida, o hash de cada transação a um nó RPC público da rede escolhida.

• Validador de token de ID OIDC (OIDC ID Token Validator)

  Envia:

  • uma URL

  Para:

  4 serviços públicos

  • accounts.google.com
  • appleid.apple.com
  • login.microsoftonline.com
  • www.googleapis.com

  A validação roda no seu navegador. Só quando você clica em “Carregar do emissor” é que o navegador solicita o documento de descoberta público e o JWKS do provedor, diretamente do emissor que você informou; o token, os códigos e os segredos nunca saem desta página.

• Verificador de Web Bot Auth (Web Bot Auth Checker)

  Envia:

  • uma URL

  Para:

  • chatgpt.com
  • http-message-signatures-example.research.cloudflare.com

  As verificações rodam no seu navegador. Só quando você clica em “Carregar no navegador” é que seu navegador solicita o diretório de chaves públicas do bot, diretamente da origem indicada no Signature-Agent; a requisição que você colou nunca sai desta página.

• Verificador de bundles Sigstore (Sigstore Bundle Verifier)

  Envia:

  • uma assinatura
  • o digest de um arquivo
  • uma chave pública ou a impressão digital dela

  Para:

  • ecdsa.com (nosso servidor)

  Verificado no seu navegador: o bundle e o arquivo ficam aqui. Somente se você clicar em “Verificar com sigstore-js” o bundle e o digest do arquivo — nunca o arquivo — são enviados ao ecdsa.com para uma segunda verificação, independente.

• Verificador de proveniência npm (npm Provenance Checker)

  Envia:

  • o nome e a versão de um pacote npm

  Para:

  • registry.npmjs.org

  Verificado no seu navegador. Quando você clica em Verificar proveniência, só o nome e a versão do pacote que você digitou são enviados ao registry.npmjs.org — e só se parecerem um nome de pacote, nunca uma chave ou um segredo. Os exemplos reproduzem respostas gravadas, sem nenhuma requisição.

• Decodificador de BIMI e VMC (BIMI & VMC Decoder)

  Envia:

  • um nome de domínio
  • uma URL

  Para:

  • ecdsa.com (nosso servidor)
  • cloudflare-dns.com

  O registro BIMI é consultado a partir do seu navegador pelo resolvedor DNS-over-HTTPS da Cloudflare, que recebe o nome do domínio. As URLs do certificado e do logotipo indicadas no registro vão para o nosso servidor, que baixa esses arquivos públicos para você — os navegadores não conseguem fazer isso. Arquivos colados são decodificados no seu navegador e não são enviados a lugar nenhum.

• Analisador de autenticação de e-mail (Email Authentication Analyzer)

  Envia:

  • a mensagem de e-mail inteira, com seu consentimento

  Para:

  • ecdsa.com (nosso servidor)

  Ao contrário de todas as outras ferramentas deste site, esta envia dados ao nosso servidor: quando você concorda e clica no botão, a mensagem inteira vai para o ecdsa.com para análise. Ela é verificada em memória e nunca é registrada em log, armazenada nem colocada em cache. Sem o seu consentimento, nada é enviado — o depurador de DKIM verifica as assinaturas no seu navegador.

• Construtor de cadeia de certificados (Certificate Chain Builder)

  Envia:

  • uma URL

  Para:

  • ecdsa.com (nosso servidor)

  A ordenação e a verificação da cadeia acontecem no seu navegador. A URL AIA extraída do certificado só vai para o nosso servidor quando você pede para baixar um intermediário ausente, e o servidor baixa esse certificado público para você. Seu pacote nunca é enviado, e nada é armazenado.

• Consulta de AAGUID (AAGUID Lookup)

  Envia:

  • o que a declaração dela indica

  Para:

  • ecdsa.com (nosso servidor)

  Só um AAGUID, um AAID UAF ou palavras do nome de um modelo são enviados ao nosso servidor; qualquer coisa que pareça uma chave ou um segredo é recusada no seu navegador e nunca é enviada. O servidor responde com base no BLOB de metadados que ele baixa da FIDO Alliance e verifica; nada sobre sua consulta é armazenado.

O analisador de autenticação de e-mail é a única ferramenta que envia conteúdo privado: a mensagem inteira que você cola. Ele não envia nada até você marcar a caixa de consentimento e clicar no botão. A mensagem é analisada na memória do nosso servidor e nunca é registrada em log, armazenada nem mantida em cache; as consultas DNS de que a análise precisa vão para o DNS over HTTPS da Cloudflare. Para manter uma mensagem no seu dispositivo, o depurador de DKIM verifica as assinaturas dela no seu navegador.

Algumas verificações são executadas no nosso servidor porque um navegador não consegue fazê-las: abrir uma conexão TLS com um domínio, baixar um arquivo de um servidor que não permite isso, ler a impressão digital da sua própria conexão. Em cada caso, nosso servidor recebe o que você informou junto com a própria requisição.

• Os relatórios de domínio (health check de assinaturas do domínio), os selos para README, o verificador de domínios em lote e a operação de health check da API se conectam ao domínio que você indica e guardam o relatório em um cache compartilhado por 60 minutos: qualquer pessoa que consultar o mesmo domínio nesse período recebe o mesmo relatório. Um relatório descreve um host público, não você.
• O verificador de JWKS e OIDC, o construtor de cadeias de certificados e o decodificador de BIMI fazem nosso servidor baixar a URL pública que você informa, ou uma URL indicada no seu certificado ou no seu registro DNS. Certificados, listas de revogação e arquivos BIMI baixados são mantidos em cache por URL, sem nenhum vínculo com você.
• O verificador de reutilização de nonce envia o endereço Bitcoin para o nosso servidor, que consulta as transações dele no mempool.space; assim, o mempool.space vê o nosso servidor, e não você.
• As consultas de chaves fracas, a segunda verificação do Sigstore e as consultas de AAGUID são respondidas na memória com dados que nosso servidor já tem, e a impressão digital TLS, a partir da sua própria conexão; nada sobre essas requisições é armazenado.
• Os corpos das requisições nunca são armazenados nem gravados em logs. Nosso código registra em log apenas erros e eventos operacionais, com os endereços de e-mail mascarados (a***@e***.com) e as chaves de API reduzidas ao ID público.
• Para aplicar os limites de taxa, o servidor conta as requisições por endereço IP (por rede /64 no caso de IPv6, em alguns formulários) na memória da instância que responde, pela duração da janela do limite — um minuto ou uma hora. Esses contadores não são gravados no banco de dados.
• A API pública e o servidor MCP dela recusam chaves privadas antes de processar qualquer coisa e nunca registram em log os corpos das requisições. O uso é contado por dia e por operação para cada chave de API, ou como “anônimo” para chamadas sem chave. A tabela de uso não tem coluna para endereço IP, e o banco de dados se recusa a armazenar um endereço IP nela.
• Como toda visita, essas requisições passam pela Vercel, que hospeda o site; veja quem trata dados para nós.

Esses formulários guardam o endereço de e-mail que você informa, com double opt-in: até você abrir o link do e-mail de confirmação, o endereço não recebe nada além de e-mails de confirmação. Nossos e-mails são enviados pela Resend.

Newsletter. Seu endereço, o idioma da página, onde estava o formulário (por exemplo, no fim de um artigo), quando você se inscreveu e confirmou e quando a última edição foi enviada para você. Toda edição traz um link para cancelar a inscrição com um clique; cancelar a inscrição exclui o registro.

Alertas de expiração de certificado. Seu endereço, o domínio, o idioma da página e quando você se inscreveu e confirmou, além do que os alertas precisam: a data de expiração do certificado e qual alerta foi enviado por último. Uma vez por dia, nosso servidor verifica o certificado do domínio e envia um e-mail para você quando faltam 30, 14, 7, 3 e 1 dias para a expiração. Todo alerta traz um link para cancelar a inscrição que exclui o registro.

Lista de espera dos planos pagos. Seu endereço, o plano, o número de domínios, sua resposta a “Do que você precisa?”, o idioma da página, onde estava o formulário, quando você entrou na lista e confirmou e — se você estava conectado com o mesmo endereço — um vínculo com sua conta. Usamos esses dados para avisar você quando o plano abrir e para decidir o que construir. Uma solicitação que ninguém confirma é excluída 7 dias depois do último e-mail de confirmação; o link nos nossos e-mails tira você da lista de espera e exclui a solicitação.

Uma inscrição na newsletter ou nos alertas que nunca é confirmada não recebe nada além do e-mail de confirmação; o link vale por 7 dias, e a inscrição é excluída depois disso.

Contra abusos, cada formulário aceita no máximo 10 requisições por hora de uma mesma rede e para um mesmo endereço, contadas na memória do servidor, e a lista de espera envia no máximo um e-mail por endereço e plano a cada 10 minutos.

As contas ainda não estão abertas. Esta seção descreve como elas funcionam quando forem abertas; até lá, nenhum desses dados é coletado.

Contamos as visitas com o Vercel Web Analytics e medimos a velocidade de carregamento das páginas com o Vercel Speed Insights. Nenhum dos dois define cookies.

• Antes de qualquer envio, o endereço da página é reduzido ao caminho: nenhuma query string (como um termo de busca) e nenhum fragmento (como o estado de uma ferramenta compartilhada) sai do seu navegador por esse meio.
• Além das visualizações de página, o site informa apenas os eventos listados abaixo, cada um com valores de um conjunto fixo ou com o nome da ferramenta da página. Eles nunca contêm o que você digitou.

• A cada visualização de página ou evento, o Web Analytics registra a hora, a página, a página de referência, seu navegador, sistema operacional e tipo de dispositivo, e sua localização aproximada derivada do endereço IP, até o nível da cidade; ele distingue as visitas com um hash da requisição que descarta depois de 24 horas. O Speed Insights registra a página, os tempos de carregamento dela, a velocidade da rede, seu navegador, sistema operacional e tipo de dispositivo, e seu país. Nenhum dos dois serviços identifica você (Web Analytics, Speed Insights).
• Bloquear esses scripts no seu navegador não afeta nenhum recurso do site.

O site define cookies apenas para o login, e só quando você começa a fazer login. Não há cookies de publicidade, de análise nem de rastreamento. É por isso que não há banner de cookies: esses cookies são estritamente necessários para o login que você pede.

O armazenamento local descrito em O que fica no seu navegador não é enviado com as requisições e é usado apenas pelos recursos citados ali.

Estes provedores tratam dados em nosso nome, apenas para as finalidades indicadas aqui.

Os serviços que as ferramentas contatam diretamente do seu navegador (resolvedores DNS públicos, nós de blockchain, provedores de identidade) e as fontes públicas das quais nosso servidor baixa dados a seu pedido (mempool.space, o serviço de metadados da FIDO Alliance, os hosts que você nos pede para verificar) não são nossos operadores. Eles atuam sob os próprios termos, e os que são acessados a partir do seu navegador o veem como veem qualquer visita.

Estamos sediados nos Emirados Árabes Unidos, e os provedores acima tratam dados nos Estados Unidos e em outros lugares. Se você usa o site a partir da União Europeia, do Reino Unido ou de outro país com regras sobre transferências de dados, seus dados são, portanto, transferidos para países cujas leis podem protegê-los menos do que as leis do seu país. Os termos de tratamento de dados dos provedores descrevem as salvaguardas que eles aplicam a essas transferências; escreva para privacy@ecdsa.com para obter as referências.

Dados excluídos podem permanecer no histórico de restauração para um ponto no tempo do provedor do banco de dados até que esse histórico se renove por completo.

Nos casos em que o GDPR ou uma lei semelhante se aplica, nos apoiamos nestas bases legais:

• Fornecer o que você pede (art. 6(1)(b) do GDPR): as verificações que você inicia, sua conta, as chaves de API e os monitores, e os e-mails que eles enviam.
• Seu consentimento (art. 6(1)(a)): a newsletter, os alertas de certificado e a lista de espera, que você confirma por e-mail, e a análise de e-mail, para a qual você marca a caixa.
• Nossos interesses legítimos (art. 6(1)(f)): proteger o site e os servidores de outras pessoas com limites de taxa e logs, e as estatísticas sem cookies que mostram quais páginas são úteis.

Dependendo de onde você mora, a lei de proteção de dados garante a você os direitos abaixo. Veja como exercê-los:

• Acesso e portabilidade. A página da conta baixa os dados da sua conta em JSON. Para as inscrições e a lista de espera, peça a nós.
• Correção. Altere seu nome e o idioma dos nossos e-mails na página da conta; para qualquer outra coisa, peça a nós. O endereço de uma conta não pode ser alterado: exclua a conta e entre com o novo endereço.
• Exclusão. Exclua a conta na página da conta. O link em cada e-mail da newsletter, dos alertas e da lista de espera exclui essa inscrição. Para qualquer outra coisa, peça a nós.
• Oposição e limitação. Você pode se opor ao tratamento baseado nos nossos interesses legítimos, como as estatísticas, e pedir que limitemos o tratamento enquanto uma questão sobre ele estiver em aberto.
• Revogação do consentimento. Cancele a inscrição ou saia da lista de espera a qualquer momento; isso não afeta o que foi feito antes.
• Reclamação. Você pode apresentar uma reclamação à autoridade de proteção de dados do país onde você mora ou trabalha, ou daquele onde você acha que o problema surgiu.

Escreva para privacy@ecdsa.com a partir do endereço a que o pedido se refere, ou nos diga como podemos confirmar que ele é seu. Respondemos em até um mês. Se um pedido for complexo, podemos precisar de até mais dois meses e vamos informar o motivo dentro do primeiro mês.

O ecdsa.com é um site para desenvolvedores e engenheiros de segurança e não é destinado a crianças. Não use os formulários dele nem crie uma conta se você tiver menos de 16 anos. Se você acha que uma criança nos forneceu o endereço de e-mail dela, escreva para privacy@ecdsa.com e nós o excluiremos.

O site é servido apenas por HTTPS. Os segredos são armazenados em uma forma que é inútil se for copiada: links de login como hashes SHA-256, chaves de API como hashes HMAC-SHA-256 com uma chave mantida fora do banco de dados, o cookie de sessão com uma assinatura, a URL do webhook do Slack criptografada. As tabelas de contas se recusam a armazenar, em qualquer caso, tokens do GitHub ou senhas.

Quando alteramos esta política, publicamos o novo texto aqui e atualizamos a data no topo. Se uma alteração afetar dados que você já nos forneceu, avisamos nesta página antes que ela entre em vigor.

E-mail: privacy@ecdsa.com. Correio postal: KeepFlow L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.