Zijn online bestandsconverters veilig?

Wat er normaal gebeurt als je uploadt

Op een gewone conversiesite wordt je bestand naar de servers van de exploitant verzonden, naar schijf geschreven, verwerkt en bewaard totdat een downloadlink is opgehaald of een bewaartimer verloopt. Dat betekent dat er een volledige kopie van je bestand bestaat op infrastructuur die je niet beheert, voor een periode die je niet kunt controleren, toegankelijk voor iedereen met toegang tot die systemen.

Voor een vakantiefoto is dat een redelijke ruil voor een gratis dienst. Voor een ondertekend contract, een scan van een paspoort, een medische brief, een onuitgebrachte opname of een spreadsheet met klantgegevens is het een beslissing die je bewust moet nemen en niet per ongeluk.

Lees wat het beleid echt belooft

“We verwijderen je bestanden na 24 uur” is een bewaartoezegging en geen privacytoezegging. Het zegt niets over wie het bestand in die 24 uur kan lezen, of back-ups daarna blijven bestaan, welke subverwerkers het ontvangen of in welk rechtsgebied de servers staan.

De vragen die ertoe doen zijn specifieker: is het bestand versleuteld opgeslagen, wie van het personeel heeft toegang, wordt het met een derde gedeeld en welk land zijn recht is van toepassing als iemand het opeist.

Hoe je ziet op wat voor site je zit

De betrouwbare test kost tien seconden. Open de ontwikkelaarstools van je browser, ga naar het tabblad Netwerk en converteer een bestand.

• Server-side: je ziet een groot POST- of PUT-verzoek ongeveer zo groot als je bestand, dan polling, dan een download.
• Client-side: je ziet de eigen code van de pagina laden, mogelijk een eenmalige download van een engine, en daarna helemaal geen verzoek meer met je bestand erin.

Een tweede aanwijzing: verbreek de internetverbinding nadat de pagina is geladen. Een converter die dan nog werkt, heeft je bestand nooit ergens naartoe gestuurd.

Wat converteren in de browser verandert

Browsers kunnen tegenwoordig echte conversie-engines lokaal draaien via WebAssembly, waaronder ffmpeg, dezelfde engine waarop veel desktopconverters zijn gebouwd. Het bestand wordt van schijf in het geheugen van de pagina gelezen, door je eigen processor geconverteerd en teruggegeven.

Er bestaat geen uploadeindpunt, dus er is geen serverkopie die kan lekken, kan worden opgeëist, bewaard of verkocht. De exploitant kan de inhoud, de bestandsnaam of zelfs het bestandstype niet zien, omdat niets wordt verzonden. Dat is een structurele garantie en geen beleidsbelofte, wat een wezenlijk ander ding is.

Het is ook geen magie. De pagina komt nog steeds van een server en tools in de browser halen hun grotere engines vaak van openbare CDN's, dus je vertrouwt erop dat de exploitant van de site en elke aanbieder waarvan hij code laadt geen kwaadaardige code meestuurt. Dat is hetzelfde vertrouwen dat elke website vraagt. Wat je zelf kunt controleren is beperkter maar nog steeds nuttig: open het tabblad Netwerk terwijl je converteert, en je ziet geen verzoek met je bestand erin. Die controle geldt voor het bezoek dat je hebt bekeken, niet voor toekomstige.

Een verstandige regel

Stel één vraag: zou het uitmaken als een vreemde dit bestand las? Als het antwoord nee is, gebruik dan wat handig is. Als het antwoord ja is, gebruik een converter die lokaal draait, of desktopsoftware. De kosten van ongelijk hebben zijn asymmetrisch: het gemak dat je bespaart is klein, het risico niet.

Voordat je ergens een foto deelt, kun je ook de EXIF-gegevens verwijderen, wat de locatie- en cameragegevens wegneemt die veel foto's bevatten. Elke tool op deze site werkt zoals hierboven beschreven: in je browser, zonder iets te uploaden.