Vos fichiers ne quittent pas cet appareil

C’est la promesse du site. Une promesse n’a de valeur que si elle est vérifiable : voici comment la vérifier, et ce qui l’empêche techniquement d’être fausse.

Vérifiez-le en trente secondes

Ouvrez les outils de développement de votre navigateur (F12) sur l’onglet « Réseau ».
Allez sur un outil, déposez un fichier et lancez le traitement. Vous verrez passer le téléchargement du moteur, une fois.
Pendant le traitement lui-même : aucune requête. Votre fichier n’apparaît dans aucune requête sortante, parce qu’il n’en sort jamais.

Cette vérification est aussi faite automatiquement à chaque mise en ligne : un test intercepte toutes les requêtes réseau du navigateur pendant un traitement et échoue s’il en détecte une seule. Une version du site qui trahirait la promesse ne peut pas être publiée.

Ce qui rend la fuite impossible

Le site déclare une Content-Security-Policy stricte. C’est le navigateur — pas nous — qui l’applique : même si notre code voulait envoyer un fichier, la requête serait bloquée avant de partir. Voici la politique réellement servie par cette page :

Directives de la Content-Security-Policy du site
Directive	Valeur
default-src	'self'
base-uri	'self'
object-src	'none'
frame-ancestors	'none'
form-action	'self'
script-src	'self' 'wasm-unsafe-eval'
style-src	'self' 'unsafe-inline'
img-src	'self' data: blob:
media-src	'self' blob:
font-src	'self'
connect-src	'self' blob:
worker-src	'self' blob:
child-src	'self' blob:
manifest-src	'self'
upgrade-insecure-requests	—

connect-src 'self' est la ligne décisive : la seule destination réseau autorisée est notre propre origine, d’où l’on télécharge les moteurs. Aucun autre serveur n’est joignable depuis ces pages.
'wasm-unsafe-eval' autorise la compilation de WebAssembly. C’est exactement ce qui permet d’exécuter ffmpeg ou libarchive ici plutôt que sur un serveur.
style-src 'unsafe-inline' est nécessaire aux styles calculés (la jauge de progression). Cette permission ne concerne que la présentation : elle ne permet d’exécuter aucun code ni d’émettre aucune requête.
La caméra et le micro sont autorisés à nos seules pages (camera=(self), microphone=(self) dans l’en-têtePermissions-Policy), et uniquement parce que trois outils enregistrent : l’écran, la webcam, la voix. Le navigateur vous demandera l’autorisation à chaque fois, et vous verrez son témoin s’allumer. Ce qui est capté reste soumis à la même règle que vos fichiers : connect-src 'self' ne laisse aucune destination où l’envoyer. L’enregistrement se termine dans votre dossier de téléchargement, pas ailleurs.
blob: dans connect-src n’est pas une adresse sur internet : c’est un pointeur vers de la mémoire de votre propre navigateur. Il sert à remettre au moteur vidéo le binaire déjà conservé dans le cache, pour ne pas retélécharger 28 Mo à chaque visite. On ne peut rien envoyer vers un blob : il n’y a personne à l’autre bout.

Ce que nous savons de vous

Aucun compte, aucun formulaire, aucune adresse e-mail collectée.
Aucun cookie — ce qui explique l’absence de bandeau : il n’y a rien à accepter. Votre préférence de thème est stockée dans le navigateur (localStorage) et n’est jamais transmise.
Aucune publicité, aucun traceur tiers, aucune revente de quoi que ce soit.
Aucun script de mesure d’audience n’est chargé — ni le nôtre, ni celui de qui que ce soit. Le nombre de visites est déduit des journaux techniques de l’hébergeur, côté serveur : rien ne s’exécute dans votre navigateur pour vous compter.
L’hébergeur (Cloudflare Pages) conserve des journaux techniques de connexion, comme tout serveur web. Ils ne contiennent pas vos fichiers, qui ne lui sont jamais transmis.

Et si vous ne nous croyez pas

Tant mieux : c’est la bonne attitude sur internet. Le code du site est public, y compris celui des moteurs et de leurs builds — consultez-le, et voyez la page des licences pour la provenance de chaque moteur. Vous pouvez aussi couper votre connexion après le chargement d’une page : les outils continueront de fonctionner.