Dez ferramentas para fotografias. Nenhuma delas pode ver as suas fotografias.

Por que uma empresa de cofre digital oferece um compressor de imagens

Porque o mesmo problema continua chegando pelo outro lado. O App-Vault existe para que as fotografias de um telefone que não deveriam estar no rolo da câmera sejam criptografadas no dispositivo. O que isso não cobre é o momento em que uma fotografia sai dele — enviada a um senhorio, carregada em um marketplace, anexada a um pedido de seguro ou publicada em um fórum — e, nesse momento, o arquivo normalmente carrega muito mais do que a imagem.

Uma fotografia de telefone normalmente armazena as coordenadas onde o obturador disparou, com precisão de poucos metros, junto com o segundo exato, o modelo do telefone e a diferença em relação ao fuso horário. Uma fotografia feita com uma câmera de sistema pode carregar os números de série do corpo e da lente, vinculando todas as imagens que aquela câmera já publicou a uma única compra. Uma captura de tela pode carregar o histórico de edição da ferramenta que a recortou. Um arquivo de um gerador de imagens pode carregar um registro assinado informando qual modelo o produziu. Nada disso é visível na imagem, nada é anunciado, e tudo isso viaja junto.

O conselho habitual — "remova o EXIF antes de publicar" — é correto, e quase ninguém o segue, porque segui-lo significa encontrar uma ferramenta, e as ferramentas pedem que você envie a fotografia para o servidor de um desconhecido para torná-la mais privada. É essa inversão que estas páginas existem para eliminar.

O que significa exatamente "funciona no navegador" aqui

O arquivo é lido com a API File, decodificado pelo próprio decodificador de imagens do navegador, alterado em um canvas ou em um buffer de bytes e codificado novamente pelo próprio codificador do navegador. Tudo isso acontece dentro da aba. Os módulos em /js/tools/ não contêm fetch, XMLHttpRequest, WebSocket nem sendBeacon: não há neles código capaz de transmitir um arquivo, o que é uma afirmação mais forte do que uma política sobre o que escolheríamos fazer com ele.

Duas coisas chegam à rede nestas páginas, e vale nomear ambas. O HTML, o CSS, as fontes e os scripts são buscados desta origem quando a página carrega, como em qualquer página da web. O Microsoft Clarity, a ferramenta de reprodução de sessões usada em todo o site, começa depois que a página está interativa e registra eventos de interação anonimizados — qual botão foi pressionado, não qual arquivo foi aberto. Ele nunca vê um arquivo, porque o arquivo nunca está em uma requisição. A política de privacidade o nomeia junto com todos os outros processadores.

O limite prático dessa abordagem é que um navegador não é um pipeline de fotos. O codificador JPEG dele não é o mozjpeg, e uma ferramenta de linha de comando o supera em dez ou vinte por cento no tamanho do arquivo com qualidade equivalente. Em troca, nada entra em fila, nada é retido e não há conta. Para uma fotografia antes de ser enviada a algum lugar, essa é a troca correta; para uma biblioteca de quarenta mil, não é, e a resposta honesta é usar outra coisa.

O que um navegador pode e não pode abrir

Cada ferramenta aqui identifica o que um arquivo é a partir dos seus primeiros bytes, e não do nome, porque uma extensão é uma afirmação feita por quem renomeou o arquivo pela última vez. JPEG, PNG e WebP podem ser lidos e gravados. AVIF and GIF podem ser lidos, mas não gravados, então uma ferramenta que abre um deles oferecerá de volta um JPEG, PNG ou WebP.

HEIC é a exceção que costuma surpreender, porque é o formato usado por padrão pelo iPhone. O Safari o decodifica; Chrome e Firefox não, e nenhuma quantidade de JavaScript muda isso. O caminho prático é compartilhar ou exportar primeiro a foto como JPEG pelo app Fotos — ou abrir estas páginas no Safari, onde ela funciona.

Os resultados informam o que foi medido

Toda ferramenta termina com o mesmo recibo: o que entrou, o que saiu e as configurações que levaram de um ao outro. Isso não é decoração. Um compressor que diz "optimizado" não informou nada; um que diz qualidade 0.75, 412 kB, 68% menor, sete codificações testadas informou o suficiente para repetir o resultado ou discordar dele.

Duas ferramentas vão além e se recusam a entregar um arquivo que não tenham lido de volta. O gerador de QR decodifica tanto o PNG quanto o SVG que acabou de produzir, recalcula as palavras de código de correção de erros e só então libera os downloads — porque um símbolo QR é opaco para quem o cria, e um código errado só é descoberto depois de ser impresso. O conversor Ultra HDR analisa novamente a própria saída e verifica se o contêiner se descreve corretamente antes de oferecê-la. Quando uma afirmação pode ser verificada deste lado, ela é verificada; quando não pode — se uma determinada câmera lerá uma determinada impressão, ou se uma determinada tela tem margem suficiente para um gain map — a página informa isso em vez de sugerir o contrário.

O que elas não fazem

Vale dizer em um só lugar, porque uma lista de capacidades sem o outro lado é um anúncio. Não há processamento em lote: cada ferramenta aceita um arquivo, o que mantém o uso de memória pequeno o bastante para funcionar em um telefone e mantém o recibo honesto sobre o que aconteceu com o seu arquivo. Não há conta, histórico salvo nem galeria — nada que você abre aqui é lembrado entre visitas, que é a mesma propriedade de "nada é enviado" vista pelo outro lado.

Não há suporte a HEIC fora do Safari, e nenhuma quantidade de JavaScript muda isso. Não há aumento de resolução com IA, redução de ruído ou edição generativa em nenhum lugar deste site: essas ferramentas inventam detalhes plausíveis, o que é aceitável para um papel de parede e desqualifica o resultado para qualquer coisa usada como evidência ou identificação. Não há detecção ou remoção de marcas d’água invisíveis, porque marcas d’água da classe SynthID vivem nos pixels, não nos metadados, e nenhum leitor desses formatos consegue vê-las. Nada preserva animação — um GIF ou WebP animado é lido como seu primeiro quadro. E o gerador de QR cria apenas códigos estáticos: sem redirecionamento, contador ou destino editável.

A mesma lista é publicada como JSON em tools.json, dentro de um bloco not_included, para que um assistente ao ser perguntado "este site consegue fazer X" receba a resposta negativa, em vez de silêncio.

Como verificar que nada é enviado

Isso leva cerca de trinta segundos e vale a pena fazer com qualquer ferramenta que faça essa afirmação, não apenas com esta. Abra as ferramentas de desenvolvedor do navegador, vá à aba Network e carregue um arquivo em qualquer ferramenta deste site. Os próprios recursos da página chegam quando ela carrega; depois disso, usar a ferramenta não produz nenhuma requisição. Nada aparece quando você escolhe um arquivo, nada aparece quando pressiona o botão e nada aparece quando baixa o resultado.

A versão mais rigorosa do teste é desligar a rede. Carregue a página, desconecte-se e use a ferramenta: tudo continuará funcionando, porque não há nada que ela precise acessar. Uma ferramenta que processa seu arquivo em um servidor não passa nesse teste, e a maioria das ferramentas "online grátis" desta categoria faz exatamente isso — o upload é o produto, e o arquivo fica no bucket de alguém sob uma política de retenção que você não leu.

O terceiro teste é o código-fonte. Cada módulo é JavaScript simples servido por esta origem em /js/tools/, e nenhum deles contém fetch, XMLHttpRequest, WebSocket ou sendBeacon. Não há código que possa transmitir um arquivo, o que é um tipo diferente de afirmação em relação a uma promessa sobre o que escolheríamos fazer com ele.

Gratuitas, e livres para usar como base

Não há conta, login, marca d’água, limite diário nem upsell dentro de nenhuma destas páginas. Os dados de referência por trás delas — a matriz de formatos de imagem, o dicionário de campos de metadados, os formatos de payload de QR e as tabelas de capacidade, os limites de anexos de e-mail — são publicados como JSON na API de dados sob CC BY 4.0, para que você possa criar as mesmas verificações em algo seu e incluir um link de volta, em vez de derivá-las novamente.

O app é a outra metade. Se uma fotografia é sensível o bastante para que você remova seus metadados antes de enviá-la, provavelmente é sensível o bastante para não ficar no rolo da câmera — e é para isso que serve o cofre, cuja criptografia é documentada parâmetro por parâmetro, em vez de ser descrita como de nível militar.