Политика конфиденциальности

• Инструменты работают в вашем браузере. Ключи, токены, сертификаты и документы, которые вы в них вставляете, обрабатываются на вашем устройстве и нам не отправляются.
• 27 инструментов отправляют публичные данные — домен, URL, адрес, открытый ключ — и только когда вы нажимаете кнопку, которая их отправляет. Список ниже показывает, что именно отправляется и куда.
• Мы храним адрес электронной почты, только если вы его нам сообщили: для рассылки, оповещений о сертификатах, списка ожидания или аккаунта.
• Здесь нет рекламы, отслеживания и продажи данных. Единственные файлы cookie — те, благодаря которым вы остаётесь в аккаунте.
• Посещения подсчитываются с помощью Vercel Web Analytics: этот сервис не использует файлы cookie и получает адреса страниц без строки запроса и фрагмента.
• Вы можете сами выгрузить или удалить свои данные либо написать на privacy@ecdsa.com.

Оператор сайта ecdsa.com — KeepFlow L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E. (далее — «мы»). Мы определяем, зачем и как обрабатываются описанные здесь данные, и несём за это ответственность.

По любым вопросам о ваших данных или об этой политике пишите на privacy@ecdsa.com.

Каждый инструмент работает на вашем устройстве, если на его странице не сказано иное. Всё, что вы вводите или вставляете в инструмент, обрабатывает код в вашем браузере, и эти данные не отправляются ни на ecdsa.com, ни кому-либо ещё. Исключения — инструменты из следующего раздела, и они отправляют только то, что там описано.

• Ссылки для общего доступа хранят состояние инструмента в части адреса после #s=. Браузеры не отправляют эту часть ни на какой сервер, а функция «Поделиться» не включает в ссылку конфиденциальные поля, например закрытые ключи.
• Поиск по сайту (⌘K) скачивает свой индекс и ищет по нему в вашем браузере: то, что вы вводите в поле поиска, не отправляется.
• Поле на главной странице, которое распознаёт вставленные входные данные, делает это в вашем браузере и открывает подходящий инструмент, передавая ему эти данные в той части адреса, которая служит для общего доступа.
• Сайт можно установить и пользоваться им офлайн: браузер хранит копии его страниц и скриптов. В них нет ничего из того, что вы вводили.

Некоторые функции запоминают данные в локальном хранилище браузера (local storage). Эти данные остаются на вашем устройстве и никогда не отправляются нам; очистка данных сайта в браузере их удаляет.

27 инструментам нужны данные, которые браузер не может получить сам. Каждый из них отправляет их, только когда вы нажимаете его кнопку, и только то, что здесь перечислено. Список формируется автоматически из собственных деклараций инструментов, а страница каждого инструмента повторяет его заявление рядом с кнопкой.

Когда инструмент обращается к другому сервису прямо из вашего браузера, этот сервис видит ваш IP-адрес и сведения о браузере так же, как при любом посещении, и на них распространяется его собственная политика конфиденциальности. Когда инструмент работает через наш сервер, сторонний сервис видит наш сервер, а не вас.

• Nonce Reuse Checker — проверка повторного использования nonce

  Отправляет:

  • адрес Bitcoin

  Куда:

  • ecdsa.com (наш сервер)

  Этот инструмент обращается к публичному API mempool.space: введённый адрес отправляется на наш сервер, а оттуда — в mempool.space. Ни ваши ключи, ни ваши подписи при этом не используются.

• JWKS & OIDC Checker — проверка JWKS и OIDC

  Отправляет:

  • URL

  Куда:

  • ecdsa.com (наш сервер)

  Эта проверка выполняется на нашем сервере: на ecdsa.com отправляется только адрес (URL с https или имя домена), и сервер загружает его за вас (браузер всё равно не может загрузить чужой JWKS — это запрещает CORS). Всё остальное, что вы вводите, остаётся в браузере, и ничего не сохраняется.

• Weak Key Checker — проверка слабых ключей

  Отправляет:

  • открытый ключ или его отпечаток

  Куда:

  • ecdsa.com (наш сервер)

  Проверки выполняются в браузере. Только когда вы нажимаете «Проверить на сервере», на ecdsa.com отправляются хеш badkeys каждого открытого ключа и модули RSA — но никогда не закрытый ключ.

• CAA Record Generator — генератор записей CAA

  Отправляет:

  • доменное имя

  Куда:

  • cloudflare-dns.com
  • dns.google

  Генерация записей и проверка вставленных записей выполняются в браузере. В режиме «Проверить DNS» выбранному резолверу DNS-over-HTTPS (Cloudflare или Google) отправляется имя домена, а также имена родительских доменов, к которым поднимается поиск CAA. Больше ничего не отправляется, и наши серверы ничего не получают.

• TLSA Record Generator — генератор записей TLSA

  Отправляет:

  • доменное имя

  Куда:

  • cloudflare-dns.com
  • dns.google

  Сертификаты читаются, а записи вычисляются в браузере. В режиме «Найти в DNS» выбранному резолверу DNS-over-HTTPS (Cloudflare или Google) отправляется имя записи (например, _25._tcp.mail.example.com); сертификаты и вставленные записи никуда не отправляются.

• DNSSEC Inspector — инспектор DNSSEC

  Отправляет:

  • доменное имя

  Куда:

  • cloudflare-dns.com
  • dns.google

  Подписи проверяются в браузере. При проверке имени выбранному резолверу DNS-over-HTTPS (Cloudflare или Google) отправляются DNS-запросы о нём самом, его родительских зонах и их ключах, и больше ничего; наши серверы ничего не получают.

• Post-Quantum Browser Check — проверка постквантового TLS в браузере

  Отправляет:

  • то, что названо в его заявлении

  Куда:

  • pq.cloudflareresearch.com
  • www.cloudflare.com

  По нажатию «Проверить браузер» ваш браузер отправляет два запроса к Cloudflare (pq.cloudflareresearch.com и www.cloudflare.com/cdn-cgi/trace) без cookie; Cloudflare видит эти запросы так же, как любое другое посещение. Никакие данные с этой страницы не отправляются, а ваш IP-адрес из ответа никогда не показывается и не попадает в ссылку.

• TLS Fingerprint (JA4) — отпечаток TLS

  Отправляет:

  • то, что названо в его заявлении

  Куда:

  • ecdsa.com (наш сервер)

  Кнопка «Показать мой отпечаток» запрашивает у собственного сервера ecdsa.com отпечаток JA4, который для этого соединения вычислила пограничная сеть Vercel; вместе с запросом ничего не отправляется, а отпечаток не сохраняется и не записывается в журналы. Вставленные отпечатки и ClientHello разбираются в вашем браузере.

• Bulk Domain Checker — массовая проверка доменов

  Отправляет:

  • доменное имя

  Куда:

  • ecdsa.com (наш сервер)

  Список обрабатывается в вашем браузере. По нажатию «Проверить» каждое имя домена отправляется в публичный API ecdsa.com (/api/v1/health), который подключается к этому домену на порту 443 и хранит результат в кеше в течение часа; больше ничего не отправляется.

• DKIM Debugger — отладчик DKIM

  Отправляет:

  • доменное имя

  Куда:

  • cloudflare-dns.com

  Письмо никогда не покидает этот браузер. Резолверу DNS-over-HTTPS от Cloudflare отправляются только имена ключей, на которые указывают подписи (селектор._domainkey.домен), и только после нажатия кнопки, которая запрашивает эти ключи.

• ARC Chain Viewer — просмотр цепочки ARC

  Отправляет:

  • доменное имя

  Куда:

  • cloudflare-dns.com

  Письмо не покидает этот браузер. Резолверу DNS-over-HTTPS от Cloudflare отправляются только имена ключей, на которые указывают печати и подписи (селектор._domainkey.домен), и только после нажатия кнопки, которая запрашивает эти ключи.

• DKIM Record Generator — генератор записей DKIM

  Отправляет:

  • доменное имя

  Куда:

  • cloudflare-dns.com

  Ключи генерируются в этом браузере; закрытый ключ никуда не отправляется и никогда не попадает в ссылку для общего доступа. Резолверу DNS-over-HTTPS от Cloudflare отправляется только имя записи (селектор._domainkey.домен), и только после нажатия кнопки «Проверить DNS».

• EIP-712 Inspector — инспектор EIP-712

  Отправляет:

  • адрес Ethereum

  Куда:

  51 публичный сервис

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Типизированные данные не покидают этот браузер. Только когда вы нажимаете «Проверить в блокчейне», адреса spender и операторов отправляются на публичный RPC-узел сети, указанной в домене (узел показан рядом с кнопкой), чтобы узнать, контракты ли это.

• Ethereum Signature Verifier — проверка подписей Ethereum

  Отправляет:

  • адрес Ethereum
  • подпись
  • хеш сообщения

  Куда:

  51 публичный сервис

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Сообщения и подписи проверяются в этом браузере. Только когда вы нажимаете «Проверить в блокчейне», адрес кошелька, 32-байтный дайджест и подпись отправляются на публичный RPC-узел выбранной сети (он указан рядом с кнопкой). Seed-фразы и закрытые ключи отклоняются и никогда не обрабатываются.

• SIWE Verifier — проверка сообщений SIWE

  Отправляет:

  • адрес Ethereum
  • подпись
  • хеш сообщения

  Куда:

  51 публичный сервис

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Сообщение и подпись проверяются в этом браузере. Только когда вы нажимаете «Проверить в блокчейне», адрес, дайджест EIP-191 и подпись отправляются на публичный RPC-узел сети, указанной в сообщении (узел показан рядом с кнопкой).

• Safe Transaction Hash — хеш транзакции Safe

  Отправляет:

  • адрес Ethereum
  • поля транзакции

  Куда:

  51 публичный сервис

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Вычисление хешей, декодирование и проверки рисков выполняются в этом браузере. Только когда вы нажимаете «Проверить в блокчейне», адрес Safe и все поля транзакции, включая calldata, отправляются на публичный RPC-узел выбранной сети (он указан рядом с кнопкой).

• Ethereum Transaction Decoder — декодер транзакций Ethereum

  Отправляет:

  • хеш транзакции
  • адрес Ethereum

  Куда:

  51 публичный сервис

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Декодирование выполняется в браузере. Только когда вы нажимаете кнопку запроса, страница отправляет хеш транзакции или адрес получателя на публичный RPC-узел выбранной сети (или на ваш собственный URL RPC) — но никогда не саму вставленную транзакцию.

• EIP-7702 Delegation Decoder — декодер делегирований EIP-7702

  Отправляет:

  • адрес Ethereum

  Куда:

  51 публичный сервис

  • 1rpc.io
  • api.avax.network
  • arb1.arbitrum.io
  • arbitrum-one-rpc.publicnode.com
  • avalanche-c-chain-rpc.publicnode.com
  • base-rpc.publicnode.com
  • base-sepolia-rpc.publicnode.com
  • berachain-rpc.publicnode.com
  • blast-rpc.publicnode.com
  • bsc-dataseed.bnbchain.org
  • bsc-rpc.publicnode.com
  • celo-rpc.publicnode.com
  • cloudflare-eth.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • forno.celo.org
  • gnosis-rpc.publicnode.com
  • linea-rpc.publicnode.com
  • mainnet.base.org
  • mainnet.era.zksync.io
  • mainnet.optimism.io
  • mainnet.unichain.org
  • mantle-rpc.publicnode.com
  • nova.arbitrum.io
  • optimism-rpc.publicnode.com
  • polygon-amoy-bor-rpc.publicnode.com
  • polygon-bor-rpc.publicnode.com
  • polygon.drpc.org
  • rpc-gel.inkonchain.com
  • rpc.berachain.com
  • rpc.blast.io
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.hyperliquid.xyz
  • rpc.linea.build
  • rpc.mantle.xyz
  • rpc.monad.xyz
  • rpc.scroll.io
  • rpc.soneium.org
  • rpc.soniclabs.com
  • rpc.zora.energy
  • scroll-rpc.publicnode.com
  • sepolia-rollup.arbitrum.io
  • sepolia.base.org
  • sepolia.drpc.org
  • sepolia.optimism.io
  • sonic-rpc.publicnode.com
  • unichain-rpc.publicnode.com
  • worldchain-mainnet.g.alchemy.com

  Декодирование выполняется в браузере. Только когда вы нажимаете кнопку запроса, страница отправляет адреса аккаунтов (подписантов, отправителя или делегата) на публичный RPC-узел выбранной сети или на ваш собственный URL RPC.

• Ethereum Nonce Reuse Checker — проверка повторного использования nonce в Ethereum

  Отправляет:

  • адрес Ethereum
  • хеш транзакции

  Куда:

  23 публичных сервиса

  • 1rpc.io
  • base-sepolia-rpc.publicnode.com
  • base-sepolia.blockscout.com
  • cloudflare-eth.com
  • eth-hoodi.blockscout.com
  • eth-sepolia.blockscout.com
  • eth.blockscout.com
  • eth.drpc.org
  • ethereum-hoodi-rpc.publicnode.com
  • ethereum-rpc.publicnode.com
  • ethereum-sepolia-rpc.publicnode.com
  • gnosis-rpc.publicnode.com
  • gnosis.blockscout.com
  • mainnet.optimism.io
  • optimism-rpc.publicnode.com
  • optimism.blockscout.com
  • rpc.gnosischain.com
  • rpc.hoodi.ethpandaops.io
  • rpc.scroll.io
  • scroll-rpc.publicnode.com
  • scroll.blockscout.com
  • sepolia.base.org
  • sepolia.drpc.org

  Вставленные транзакции проверяются в браузере. Сканирование запускается только своей кнопкой: оно отправляет адрес обозревателю блоков Blockscout, а затем хеш каждой транзакции — публичному RPC-узлу выбранной сети.

• OIDC ID Token Validator — валидатор ID-токенов OIDC

  Отправляет:

  • URL

  Куда:

  4 публичных сервиса

  • accounts.google.com
  • appleid.apple.com
  • login.microsoftonline.com
  • www.googleapis.com

  Проверка выполняется в браузере. Только когда вы нажимаете «Загрузить у издателя», браузер запрашивает общедоступный документ обнаружения и JWKS поставщика напрямую у указанного вами издателя; токен, коды и секреты никогда не покидают эту страницу.

• Web Bot Auth Checker — проверка Web Bot Auth

  Отправляет:

  • URL

  Куда:

  • chatgpt.com
  • http-message-signatures-example.research.cloudflare.com

  Проверки выполняются в браузере. Только когда вы нажимаете «Загрузить в браузере», браузер запрашивает каталог открытых ключей бота напрямую у источника, указанного в Signature-Agent; вставленный вами запрос никогда не покидает эту страницу.

• Sigstore Bundle Verifier — проверка бандлов Sigstore

  Отправляет:

  • подпись
  • дайджест файла
  • открытый ключ или его отпечаток

  Куда:

  • ecdsa.com (наш сервер)

  Проверка идёт в браузере: бандл и ваш файл остаются здесь. Только если вы нажмёте «Проверить с помощью sigstore-js», бандл и дайджест файла (но никогда не сам файл) отправляются на ecdsa.com для второй, независимой проверки.

• npm Provenance Checker — проверка происхождения пакетов npm

  Отправляет:

  • имя и версия пакета npm

  Куда:

  • registry.npmjs.org

  Всё проверяется в браузере. Когда вы нажимаете «Проверить происхождение», на registry.npmjs.org отправляются только введённые имя пакета и версия — и только если они похожи на имя пакета: то, что похоже на ключ или секрет, не отправляется никогда. Примеры воспроизводят записанные ответы без единого запроса.

• BIMI & VMC Decoder — декодер BIMI и VMC

  Отправляет:

  • доменное имя
  • URL

  Куда:

  • ecdsa.com (наш сервер)
  • cloudflare-dns.com

  Запись BIMI запрашивается из вашего браузера через резолвер DNS-over-HTTPS от Cloudflare, которому передаётся имя домена. URL сертификата и логотипа, указанные в записи, уходят на наш сервер, и он скачивает эти общедоступные файлы за вас — браузеры этого не могут. Вставленные файлы декодируются в браузере и никуда не отправляются.

• Email Authentication Analyzer — анализатор аутентификации почты

  Отправляет:

  • всё письмо целиком, с вашего согласия

  Куда:

  • ecdsa.com (наш сервер)

  В отличие от всех остальных инструментов сайта, этот отправляет данные на наш сервер: когда вы даёте согласие и нажимаете кнопку, всё письмо уходит на ecdsa.com для анализа. Его проверяют в памяти и никогда не записывают в журналы, не сохраняют и не кешируют. Без вашего согласия ничего не отправляется — отладчик DKIM проверяет подписи прямо в вашем браузере.

• Certificate Chain Builder — сборка цепочки сертификатов

  Отправляет:

  • URL

  Куда:

  • ecdsa.com (наш сервер)

  Упорядочивание и проверка цепочки выполняются в браузере. URL AIA, взятый из сертификата, уходит на наш сервер, только когда вы просите скачать недостающий промежуточный сертификат, и сервер скачивает за вас этот общедоступный сертификат. Сам пакет никогда не отправляется, и ничего не сохраняется.

• AAGUID Lookup — поиск по AAGUID

  Отправляет:

  • то, что названо в его заявлении

  Куда:

  • ecdsa.com (наш сервер)

  На наш сервер отправляются только AAGUID, AAID для UAF или слова из названия модели; всё, что похоже на ключ или секрет, отклоняется прямо в браузере и никуда не отправляется. Сервер отвечает по BLOB метаданных, который он скачивает у FIDO Alliance и проверяет; о вашем запросе ничего не сохраняется.

Анализатор аутентификации почты — единственный инструмент, который отправляет конфиденциальное содержимое: всё вставленное вами письмо. Он ничего не отправляет, пока вы не отметите флажок согласия и не нажмёте кнопку. Письмо анализируется в памяти нашего сервера, и его никогда не записывают в журналы, не сохраняют и не кешируют; DNS-запросы, нужные для анализа, уходят в DNS over HTTPS от Cloudflare. Если письмо должно остаться на вашем устройстве, отладчик DKIM проверит его подписи в вашем браузере.

Некоторые проверки выполняются на нашем сервере, потому что браузер не может их выполнить: открыть TLS-соединение с доменом, скачать файл с сервера, который этого не разрешает, прочитать отпечаток вашего собственного соединения. Для каждой такой проверки наш сервер получает введённые вами данные вместе с самим запросом.

• Отчёты о доменах («Состояние подписей домена»), бейджи для README, массовая проверка доменов и операция проверки состояния домена в API подключаются к указанному вами домену и хранят отчёт в общем кеше 60 минут: любой, кто в это время запросит тот же домен, получит тот же отчёт. Отчёт описывает публичный хост, а не вас.
• Проверка JWKS и OIDC, сборка цепочки сертификатов и декодер BIMI поручают нашему серверу скачать указанный вами публичный URL или URL, названный в вашем сертификате или DNS-записи. Скачанные сертификаты, списки отзыва и файлы BIMI кешируются по URL без какой-либо связи с вами.
• Проверка повторного использования nonce отправляет адрес Bitcoin на наш сервер, а он запрашивает транзакции этого адреса у mempool.space, поэтому mempool.space видит наш сервер, а не вас.
• На запросы о слабых ключах, вторую проверку Sigstore и поиск по AAGUID наш сервер отвечает из памяти, по данным, которые у него уже есть, а отпечаток TLS определяет по вашему собственному соединению; ничего об этих запросах не сохраняется.
• Тела запросов никогда не сохраняются и никогда не записываются в журналы. Наш код записывает в журналы только ошибки и служебные события, при этом адреса электронной почты маскируются (a***@e***.com), а от API-ключей остаётся только их публичный идентификатор.
• Чтобы соблюдались лимиты запросов, сервер считает запросы с каждого IP-адреса (для IPv6 в некоторых формах — с каждой сети /64) в памяти экземпляра, который отвечает на запрос, в течение окна лимита — одной минуты или одного часа. Эти счётчики не записываются в базу данных.
• Публичный API и его MCP-сервер отклоняют закрытые ключи до какой-либо обработки и никогда не записывают тела запросов в журналы. Использование учитывается по дням и по операциям для каждого API-ключа, а вызовы без ключа учитываются как «анонимные». В таблице использования нет столбца для IP-адреса, и база данных не позволяет сохранить его в этой таблице.
• Как и любое посещение, эти запросы проходят через Vercel, где размещён сайт; см. раздел «Кто обрабатывает данные по нашему поручению».

Эти формы сохраняют введённый вами адрес электронной почты с двойным подтверждением: пока вы не откроете ссылку из письма с подтверждением, на этот адрес не приходит ничего, кроме писем с подтверждением. Наши письма отправляются через Resend.

Рассылка. Ваш адрес, язык страницы, где находилась форма (например, в конце статьи), когда вы подписались и подтвердили подписку, а также когда вам был отправлен последний выпуск. В каждом выпуске есть ссылка для отписки в один клик; при отписке запись удаляется.

Оповещения об истечении срока действия сертификатов. Ваш адрес, домен, язык страницы, когда вы подписались и подтвердили подписку, а также то, что нужно для оповещений: дата истечения срока действия сертификата и какое оповещение было отправлено последним. Раз в день наш сервер проверяет сертификат домена и присылает вам письмо, когда до истечения его срока действия остаётся следующее число дней: 30, 14, 7, 3 и 1. В каждом оповещении есть ссылка для отписки, которая удаляет запись.

Список ожидания платных тарифов. Ваш адрес, тариф, число доменов, ваш ответ на вопрос «Что вам нужно?», язык страницы, где находилась форма, когда вы записались и подтвердили заявку, а также — если вы вошли в аккаунт с тем же адресом — ссылка на ваш аккаунт. Мы используем эти данные, чтобы сообщить вам об открытии тарифа и решить, что разрабатывать. Заявка, которую никто не подтвердил, удаляется через 7 дней после последнего письма с подтверждением; ссылка в наших письмах исключает вас из списка ожидания и удаляет заявку.

Если подписку на рассылку или оповещения так и не подтвердили, на адрес не приходит ничего, кроме письма с подтверждением; ссылка в нём действует 7 дней, после чего подписка удаляется.

Для защиты от злоупотреблений каждая форма принимает не более 10 запросов в час из одной сети и для одного адреса (счёт ведётся в памяти сервера), а список ожидания отправляет не более одного письма на адрес и тариф раз в 10 минут.

Аккаунты пока не открыты. В этом разделе описано, как они будут работать после открытия; до тех пор никакие из этих данных не собираются.

Мы подсчитываем посещения с помощью Vercel Web Analytics и измеряем скорость загрузки страниц с помощью Vercel Speed Insights. Ни один из этих сервисов не устанавливает файлы cookie.

• Перед отправкой адрес страницы обрезается до пути: ни строка запроса (например, поисковая фраза), ни фрагмент (например, состояние инструмента в ссылке для общего доступа) таким образом не покидают ваш браузер.
• Помимо просмотров страниц, сайт сообщает только о перечисленных ниже событиях, каждое — со значениями из фиксированного набора или с названием инструмента на странице. Они никогда не содержат того, что вы вводили.

• При каждом просмотре страницы или событии Web Analytics записывает время, страницу, страницу-источник перехода, ваш браузер, операционную систему и тип устройства, а также ваше приблизительное местоположение с точностью до города, определённое по IP-адресу; посещения он различает по хешу запроса, который удаляет через 24 часа. Speed Insights записывает страницу, время её загрузки, скорость сети, ваш браузер, операционную систему и тип устройства, а также вашу страну. Ни один из этих сервисов не идентифицирует вас (Web Analytics, Speed Insights).
• Блокировка этих скриптов в браузере не влияет ни на одну функцию сайта.

Сайт устанавливает файлы cookie только для входа и только после того, как вы начали входить. Рекламных, аналитических и отслеживающих файлов cookie нет. Поэтому на сайте нет баннера о файлах cookie: эти файлы cookie строго необходимы для входа, который вы запрашиваете.

Локальное хранилище, описанное в разделе «Что остаётся в вашем браузере», не передаётся вместе с запросами и используется только названными там функциями.

Эти поставщики обрабатывают данные по нашему поручению и только в названных здесь целях.

Сервисы, к которым инструменты обращаются прямо из вашего браузера (публичные DNS-резолверы, узлы блокчейнов, поставщики удостоверений), и публичные источники, из которых наш сервер скачивает данные по вашему запросу (mempool.space, служба метаданных FIDO Alliance, хосты, которые вы просите нас проверить), не являются нашими обработчиками данных. Они действуют на собственных условиях, а те из них, к которым обращается ваш браузер, видят его так же, как при любом посещении.

Мы находимся в Объединённых Арабских Эмиратах, а перечисленные выше поставщики обрабатывают данные в США и других странах. Поэтому, если вы пользуетесь сайтом из Европейского союза, Соединённого Королевства или другой страны, где действуют правила о передаче данных, ваши данные передаются в страны, законы которых могут защищать их хуже, чем законы вашей страны. Меры защиты, которые поставщики применяют при такой передаче, описаны в их условиях обработки данных; чтобы получить ссылки на эти документы, напишите на privacy@ecdsa.com.

Удалённые данные могут оставаться в истории восстановления на момент времени (point-in-time restore) у поставщика базы данных, пока эта история не перезапишется.

Там, где применяется GDPR или аналогичный закон, мы опираемся на следующие правовые основания:

• Предоставление того, что вы запрашиваете (ст. 6(1)(b) GDPR): запущенные вами проверки, ваш аккаунт, API-ключи и мониторы, а также письма, которые они отправляют.
• Ваше согласие (ст. 6(1)(a)): рассылка, оповещения о сертификатах и список ожидания, которые вы подтверждаете по электронной почте, а также анализ письма, для которого вы отмечаете флажок согласия.
• Наши законные интересы (ст. 6(1)(f)): защита сайта и чужих серверов с помощью лимитов запросов и журналов, а также статистика без файлов cookie, которая показывает, какие страницы полезны.

В зависимости от того, где вы живёте, законодательство о защите данных даёт вам перечисленные ниже права. Вот как ими воспользоваться:

• Доступ и переносимость. На странице аккаунта можно скачать данные аккаунта в формате JSON. По подпискам и списку ожидания обратитесь к нам.
• Исправление. Измените имя и язык наших писем на странице аккаунта; по всему остальному обратитесь к нам. Адрес аккаунта изменить нельзя: удалите аккаунт и войдите с новым адресом.
• Удаление. Удалите аккаунт на странице аккаунта. Ссылка в каждом письме рассылки, оповещения и списка ожидания удаляет соответствующую подписку. По всему остальному обратитесь к нам.
• Возражение и ограничение обработки. Вы можете возразить против обработки, основанной на наших законных интересах (например, против статистики), и попросить нас ограничить обработку, пока вопрос о ней не решён.
• Отзыв согласия. Отписаться или выйти из списка ожидания можно в любой момент; на то, что было сделано до этого, это не влияет.
• Жалоба. Вы можете подать жалобу в надзорный орган по защите данных страны, где вы живёте или работаете либо где, по вашему мнению, возникла проблема.

Напишите на privacy@ecdsa.com с адреса, к которому относится запрос, или сообщите, как мы можем убедиться, что этот адрес принадлежит вам. Мы отвечаем в течение одного месяца. Если запрос сложный, нам может понадобиться ещё до двух месяцев, и в течение первого месяца мы сообщим вам о причине.

ecdsa.com — сайт для разработчиков и инженеров по безопасности, он не предназначен для детей. Если вам меньше 16 лет, не пользуйтесь формами сайта и не создавайте аккаунт. Если вы считаете, что ребёнок передал нам свой адрес электронной почты, напишите на privacy@ecdsa.com, и мы его удалим.

Сайт работает только по HTTPS. Секреты хранятся в таком виде, что их копия бесполезна: ссылки для входа — в виде хешей SHA-256, API-ключи — в виде хешей HMAC-SHA-256 с ключом, который хранится вне базы данных, файл cookie сессии — с подписью, URL вебхука Slack — в зашифрованном виде. Таблицы аккаунтов в принципе не позволяют хранить токены GitHub или пароли.

Когда мы меняем эту политику, мы публикуем новый текст здесь и обновляем дату в начале страницы. Если изменение касается данных, которые вы уже нам передали, мы сообщаем об этом на этой странице до того, как оно вступит в силу.

Электронная почта: privacy@ecdsa.com. Почтовый адрес: KeepFlow L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.