Abre las herramientas de desarrollo del navegador, ve al panel Red, vacíalo y después elige y procesa un archivo: en la lista no debería aparecer ninguna petición nueva que lleve tu archivo, ni nada que vaya a otro sitio web. Las únicas peticiones que verás proceden de la carga de la página, de los componentes que pediste (modelos y archivos WebAssembly de este sitio) y de la baliza de estadísticas de Cloudflare.

Por qué comprobarlo

Todas las páginas de este sitio dicen que los archivos se procesan en tu navegador y no se suben. Eso es una afirmación, y afirmar cosas sobre privacidad sale barato. El código fuente del sitio no está publicado, así que, en vez de pedirte que lo leas, esta página te enseña a observar lo que la página hace de verdad. Los navegadores registran cada petición de red que hace una página y permiten que cualquiera consulte ese registro.

La comprobación en Chrome o Edge

Abre la página de la herramienta que quieras probar, por ejemplo la que elimina metadatos de fotos.
Abre las herramientas de desarrollo con Ctrl+Mayús+I en Windows y Linux o Cmd+Opción+I en un Mac (o con F12), y elige la pestaña Red (Network).
Marca Conservar registro (Preserve log) para que la lista no se vacíe si la página cambia, y después usa el botón de borrar (un círculo atravesado por una línea) para dejar la lista en blanco.
Elige un archivo en la herramienta y deja que termine. Usa los botones que la herramienta necesite, como Empezar o Exportar, y descarga el resultado.
Mira la lista. En el cuadro de filtro, escribe method:POST para ver solo las peticiones que envían datos, y luego -domain:startprivate.com para ver solo las peticiones a otros sitios web. Ninguno de los dos filtros debería mostrar nada que ocurriera mientras se procesaba tu archivo.

La comprobación en Firefox

Abre la página de la herramienta.
Usa Ctrl+Mayús+E en Windows y Linux o Cmd+Opción+E en un Mac para abrir directamente el Monitor de red.
En el menú de configuración del panel (el icono del engranaje), activa Registros persistentes (Persist Logs), y luego usa el icono de la papelera para vaciar la lista.
Elige y procesa un archivo, y después descarga el resultado.
Lee la lista. El cuadro de filtro admite la misma clase de filtros, por ejemplo method:POST, y puedes seleccionar cualquier fila para ver adónde fue y qué llevaba.

La comprobación en Safari en un Mac

Elige Safari → Ajustes, abre Avanzado y marca Mostrar funciones para desarrolladores web. Aparece un menú Desarrollo.
Abre la página de la herramienta, elige Desarrollo → Mostrar inspector web (Opción + Comando + I) y selecciona la pestaña Red.
Vacía la lista con el botón de la papelera.
Elige y procesa un archivo, y descarga el resultado.
Repasa las filas nuevas, si las hay, y selecciona una para ver su dirección y su método.

En un iPhone o un iPad, Safari no tiene un panel Red propio. Puedes activar Inspector web en los ajustes de Safari del teléfono, dentro de Avanzado, conectar el teléfono a un Mac con un cable e inspeccionar la pestaña del teléfono desde el menú Desarrollo del Mac. Chrome en Android se puede inspeccionar de la misma manera desde el Chrome de escritorio, en chrome://inspect.

Qué verás y qué significa

Al cargar la página: la propia página, una hoja de estilos, unos cuantos archivos de script bajo /assets/, a veces un pequeño archivo de idioma, iconos y el manifiesto de la app. Todo viene de startprivate.com. También verás el script de estadísticas de static.cloudflareinsights.com.

Cuando usas un botón que necesita un componente: una tanda de peticiones GET a startprivate.com de archivos de programa y de modelos, por ejemplo bajo /v/ y /assets/. Es la descarga del detector de caras (aproximadamente 1 MB), del lector de texto, del lector de credenciales de contenido (aproximadamente 8.6 MB), de la biblioteca de Office o de las listas de palabras para contraseñas. Son archivos que vienen hacia ti, no tu archivo yéndose. Selecciona una y verás una petición GET con el cuerpo de la petición vacío.

Mientras eliges y procesas tu archivo: nada nuevo que salga de tu dispositivo. Puede que veas entradas cuya dirección empieza por blob: o data:. Son direcciones internas de tu propio navegador, que sirven para vistas previas y descargas; nunca llegan a la red.

La baliza de estadísticas: Cloudflare Web Analytics manda un pequeño informe cuando la página se carga y otro cuando la página se oculta o se cierra, así que pasar a otra pestaña puede añadir una fila. Según cómo se sirva el sitio, va a /cdn-cgi/rum en este mismo sitio o a cloudflareinsights.com. Selecciónala y abre la carga útil: contiene cifras de tiempos de la página y su dirección, no el contenido de ningún archivo. Si un bloqueador de contenido la detiene, las herramientas funcionan exactamente igual.

Una excepción hecha a propósito: en la página de seguridad de contraseñas, marcar Comprobar filtraciones de datos conocidas envía una petición GET a api.pwnedpasswords.com con 5 caracteres de un hash. Viene desactivada por defecto, y ninguna otra página tiene permitido conectarse a ningún lugar que no sea este sitio y la dirección de estadísticas.

Una segunda línea de defensa: la política de seguridad

Cada página se envía con una cabecera Content-Security-Policy. Entre otras cosas, le indica al navegador que la página solo puede conectarse con este sitio y con la dirección de estadísticas de Cloudflare, y que solo puede cargar scripts de este sitio y el script de estadísticas. Si algún código de la página intentara mandar datos a otro lugar, el propio navegador lo bloquearía y anotaría un error. Puedes leer la política en el panel Red: selecciona la primera fila (la página) y busca content-security-policy en Encabezados de respuesta (Response Headers). En la página de seguridad de contraseñas verás en ella una dirección más, la de la lista de filtraciones.

Los scripts y los estilos de cada página llevan además hashes de integridad de subrecursos (Subresource Integrity), de modo que el navegador se niega a ejecutar un archivo que no coincida con la versión que la página espera.

Cómo funciona cada tipo de herramienta

Fotos (JPEG, PNG, WebP, HEIC). Los metadatos se quitan a nivel de bytes. La herramienta recorre los segmentos, fragmentos o cajas del archivo, descarta los que contienen EXIF, GPS, XMP, IPTC, notas del fabricante, credenciales de contenido, comentarios y miniaturas incrustadas, y copia los datos de la imagen sin cambiarlos. La imagen nunca se descodifica ni se vuelve a codificar, así que es idéntica píxel a píxel. La marca de rotación y el perfil de color se conservan para que la foto se siga viendo bien. El perfil se queda tal como está, con sus textos breves (una descripción, una línea de copyright, a veces el nombre de un dispositivo o de quien preparó el perfil): el resultado lo nombra entre lo que queda, y el visor EXIF muestra esos textos. En el modo Solo la ubicación, el bloque EXIF se edita en su sitio, y únicamente si la herramienta puede leerlo entero: las entradas de una lista fija (fechas, cámara, ajustes, números de serie, nombres de propietario y de autor) se quedan cuando contienen lo que una entrada de ese tipo debe contener; cualquier otra entrada se elimina, igual que una entrada de la lista escrita con un tipo o un recuento distintos de los que espera la lista, o un número conservado que deletrea tres letras de un nombre; y un bloque que no se deja leer completo se quita entero. Esa comprobación de números se refiere solo a los campos numéricos, los números EXIF que este modo conserva y los números de dentro de un perfil de color (que se conserva en los dos modos); las cámaras y los teléfonos no escriben nombres ahí, solo lo haría un archivo fabricado con esa intención. Detecta letras latinas, griegas y cirílicas escritas como bytes simples, en UTF-8 o como caracteres de 16 bits, incluidas las tildes escritas como marcas aparte; una letra con tilde guardada como un solo byte, y otras escrituras, entre ellas el chino, no se pueden distinguir de los números. En un perfil de color, el tamaño del perfil y la cantidad de puntos de una curva no se leen como letras cuando cuadran con la estructura del perfil y no se salen de lo que usan los perfiles reales (1 MB, 64 etiquetas, 4096 puntos de curva); un perfil que se sale de ahí figura como portador de datos que un perfil estándar no lleva. Los campos de texto, como el autor o el copyright, son otra cuestión, que se trata más abajo en Cámara y nombres en el modo Solo la ubicación. Lo que un JPEG guarda detrás de su imagen principal, como un mapa de ganancia Ultra HDR o el video que acompaña a una foto en movimiento, desaparece siempre. Los archivos que la herramienta no puede recorrer de punta a punta se rechazan sin más, igual que las variantes que no cubre: JPEG con codificación aritmética y JPEG jerárquico, secuencias de imágenes HEIC, AVIF animado y HEIC con cajas desconocidas.

Video (MP4, MOV). De las pistas, solo se conservan las de video y audio. Las demás (telemetría de GPS y de sensores, código de tiempo, datos propios de la cámara, y las pistas de subtítulos salvo que elijas conservarlas) se rellenan con ceros y se marcan como espacio libre, las cajas de metadatos como udta, meta y uuid se vacían, y las horas de creación y de modificación se ponen a cero. Una caja uuid se queda: la caja de video esférico de Google en la pista de un video de 360°, que guarda la proyección y el nombre del programa que unió las imágenes y que los reproductores necesitan para mostrar el video en 360°; figura como conservada. En la configuración de códec de las pistas conservadas se vacía un campo cuando una pista de imagen está codificada en H.264, H.265 o ProRes: el lugar de su descripción donde un codificador escribe su propio nombre (en un archivo de GoPro pone “GoPro AVC encoder”), salvo que ese lugar contenga solo el nombre del formato de codificación. Las demás codificaciones mantienen ese campo. El resto no se edita y todavía puede nombrar el codificador, y el resultado enumera cada uno de esos nombres con su texto. La longitud del archivo no varía, la imagen y el sonido no se recodifican, y la salida se compone con porciones de tu original más unos pequeños parches, así que los archivos de varios gigabytes funcionan sin cargarse en memoria.

Archivos de Office (DOCX, XLSX, PPTX). Son archivos zip de archivos XML, que se descomprimen en un proceso en segundo plano y se tratan en dos pasos separados. El limpiador va primero. Elimina las propiedades de autor y de empresa, los comentarios y sus autores, las propiedades personalizadas, el texto oculto, los identificadores de sesión de edición, los registros de coautoría, las etiquetas de complementos, la configuración de combinación de correspondencia y de publicación web y los datos de etiquetas de confidencialidad, y resuelve el control de cambios aceptando los cambios o escondiendo quién los hizo (tú eliges). Las rutas de carpetas se acortan al nombre del archivo allí donde un valor es seguro que es la ubicación de un archivo: el destino de un vínculo, la descripción de una imagen que solo contiene una ruta, el archivo que un campo de Word tiene que traer (no el resto del texto de un código de campo) y el punto de una fórmula de Excel que nombra otro libro (no el texto tecleado entre comillas). Una ruta que aparezca en cualquier otro sitio se deja como está escrita y se enumera en el resultado. Hay un caso que se escapa por los dos lados: una ubicación que una fórmula compone con trozos de texto separados no se puede reconocer como ruta, y solo se enumera un trozo que por sí solo lo parezca. Algunas cosas se conservan a propósito: las firmas digitales, los campos del texto que muestran el autor o el nombre del archivo, las conexiones de datos, los datos de complementos, las direcciones de correo de detrás de los enlaces y los vínculos a direcciones de redes privadas. El segundo paso es una comprobación independiente del archivo terminado. No comparte ninguna lista con el limpiador y compara la salida, parte por parte y atributo por atributo, con las definiciones publicadas del formato (los datos de esquema que acompañan al Open XML SDK de Microsoft). Una parte, un elemento o un atributo solo cuenta como comprobado cuando las definiciones lo conocen y se encuentra limpio. Todo lo demás que haya, incluidos los elementos que se conservan a propósito y cualquier parte o marcado que la herramienta no reconozca, se enumera al principio del resultado con el nombre de la parte que lo contiene, en lugar de una declaración de que el archivo está limpio. Como último paso, los nombres, las iniciales y los identificadores de cuenta leídos del archivo original se buscan en todas las partes del archivo limpio, y los que aparecen también entran en la lista. Si un nombre registrado en las propiedades del archivo (el autor, la última persona que lo guardó, el autor de un comentario, etcétera) aparece también en el texto del propio documento, figura entre las advertencias, tanto si ese texto se muestra como si está oculto; comprobar si el nombre se queda, y decidirlo, te corresponde a ti. Algunos casos producen una nota discreta en lugar de una advertencia: el texto del contenido que se lee como una ruta de carpetas, una dirección interna o una cuenta (consulta los límites más abajo); y un nombre registrado que no se pudo buscar, o porque solo tiene una o dos letras o cifras, o porque no se pudo leer la parte del original que lo contenía. Una parte cuenta como no leída cuando un lector XML conforme la rechaza, aunque se hayan encontrado nombres en ella; también una que tenga una declaración de tipo de documento, o una cuya codificación declarada no sea ninguna de UTF-8, UTF-16, windows-1252, ISO-8859-1 y US-ASCII. Un puñado de palabras predeterminadas, como “User”, no se buscan nunca; la sección Límites, más abajo, dice cuáles son. Las partes se descomprimen de una en una, dentro de límites fijos (64 MB para una parte o una imagen, 256 MB para todas las partes de texto juntas, 512 MB para todo el paquete, imágenes y partes no abiertas incluidas, un millón de piezas de XML en una parte, contando como pieza cualquier elemento, comentario o tramo de texto situado entre etiquetas, 512 niveles de anidamiento, 2048 en una parte que se lee de una sola pasada, 2000 atributos en un elemento y 10 000 entradas en el paquete), de forma que un archivo fabricado para agotar la memoria se rechaza en lugar de procesarse. Una tabla de antes y después enumera lo que cambió. Las fotos incrustadas (JPEG, PNG, WebP, HEIC) pasan por el limpiador de fotos; cualquier otra imagen, archivo multimedia u objeto incrustado no se abre y se indica como dejado en el archivo.

Visor de credenciales de contenido. La página comprueba primero en local si un archivo tiene datos C2PA. Solo entonces carga el lector, configurado para no descargar manifiestos remotos, estados de revocación ni listas de confianza. Por eso informa de si una firma está intacta, no de si el firmante es de confianza.

Tapar. El editor dibuja una copia de trabajo en un lienzo, limitada a unos 2048 píxeles por lado, y guarda los recuadros en las coordenadas del original. Al exportar vuelve a pintar la imagen a tamaño completo con lo que tapa cada recuadro y codifica en segundo plano un archivo nuevo, motivo por el que no se cuela ningún metadato. Si el navegador no logra codificar el tamaño completo, lo intenta de nuevo a 4096 píxeles. El detector de caras es el modelo YuNet ejecutado con TensorFlow.js Web; el lector de texto es el motor de OCR Tesseract, con reglas de patrones y el lector de códigos de barras ZXing.

Contraseñas y frases de contraseña. Todo el azar sale de crypto.getRandomValues, la función del navegador, con muestreo por rechazo para que cada carácter o palabra salga con la misma probabilidad. Nada de lo generado se guarda ni se envía.

Hashes de archivos. Los archivos se leen en trozos de 8 MiB en un proceso en segundo plano y pasan por las implementaciones de SHA-2, SHA-1 y MD5 de hash-wasm.

Cifrado de texto. AES-256-GCM de la API Web Crypto del navegador, con claves derivadas de las contraseñas mediante Argon2id (64 MiB, 3 pasadas) de hash-wasm.

Seguridad de contraseñas. zxcvbn-ts puntúa la contraseña dentro de la página; la comprobación de filtraciones descrita más arriba es lo único que puede hacer una petición.

Límites

Estas herramientas eliminan lo que reconocen y enumeran lo que conservan. Por eso, un resultado sin nada en la lista significa “entre lo que esta herramienta revisa, no había nada”, nunca “este archivo no revela nada sobre ti”. Esto es lo que las herramientas no hacen.

Rutas que arma una fórmula. Una fórmula de Excel puede armar una dirección o una ruta de carpetas con cadenas separadas, por ejemplo ="D:\Team\" & B2 & "\plan.xlsx". Ver que el resultado es una ruta obligaría a calcular la fórmula, y la herramienta solo la lee. Una pieza suelta con aspecto de ruta, aquí "D:\Team\", se enumera de todos modos.
Nombres que son palabras predeterminadas comunes. Si el nombre o la empresa que figuran en las propiedades de un archivo de Office son exactamente “user”, “admin”, “administrator”, “owner”, “author”, “guest”, “unknown”, “test” o “microsoft”, en mayúsculas o no, la propiedad se elimina como cualquier otra, pero esa palabra no se busca en el resto del archivo. Sale en los nombres de fuentes, temas y estilos de archivos normales, y casi todo lo que se encontrara serían falsas alarmas. Tampoco se busca un nombre, una empresa o una cuenta registrados de solo una o dos letras latinas o cifras (“HP”, “Jo”), ni un valor sin letras ni cifras, ni un identificador compuesto únicamente por ceros; en esos casos, el resultado lo avisa para ese archivo. Un nombre en otra escritura, como el chino o el árabe, se busca con cualquier longitud. Las iniciales que Word y PowerPoint guardan junto al autor de un comentario son la única excepción a ese aviso: cuando tienen una o dos letras o cifras, no se buscan y no se dice nada, porque el nombre completo del autor, que sí se busca, está justo al lado. Las iniciales de tres caracteres o más se buscan igual que un nombre.
Nombres escritos en clave. Después de limpiar, la herramienta busca en el archivo cada nombre, cada juego de iniciales y cada cuenta que estaba registrado en el original. Compara cada texto en su forma original y de nuevo con una lista fija de grafías deshechas, diez en total: las referencias de caracteres de XML (J); la forma _x004A_ que usa Excel; los escapes con porcentaje (%4A); las diferencias de mayúsculas, de ancho y de caracteres que no se ven; unas comillas escritas dos veces dentro de una fórmula; un apóstrofo escrito dos veces en el nombre de hoja o de libro escrito entre comillas ('O''Brien'!A1); && en lugar de & en los encabezados y pies de página de Excel; + por un espacio después del ? de la dirección de un enlace; \" y \\ en un código de campo de Word; y los escapes del texto JSON (\u004A), que los gestores de referencias guardan en los códigos de campo. Cada una se aplica solo en la clase de lugar en la que el formato la usa. Nada más se descodifica: un nombre guardado en base64, como dominio internacionalizado en su forma xn-- o escrito con las barras invertidas propias de los formatos de número (\J\a\n\e) solo se encuentra donde además figure en forma normal.
Rutas y direcciones internas en lo que dice el propio documento. El texto de un documento, las celdas de un libro y las palabras de una diapositiva son tuyos, y la herramienta no los edita. Lo que sí hace es señalar, en una nota Conviene saberlo bajo el resultado, el texto de esos lugares que se lee como una ruta de carpetas con letra de unidad, un recurso compartido de red, una carpeta de usuario (~, /Users/…, /home/…) o una variable como %USERPROFILE%, como una dirección dentro de una red privada (http://intranet/…) o como un identificador de cuenta. La nota dice a qué se parece el texto, no que lo sea. Otros textos con forma de ruta no reciben nota: la mitad de ruta de una dirección web (/v1.0/teams), una expresión XPath, una línea de código de ejemplo que empieza por //, localhost, un host de ejemplo escrito entre llaves. Esos mismos valores en lugares que un lector no ve (propiedades, nombres definidos, destinos de vínculos, códigos de campo) se enumeran como siempre, en el recuadro de lo que sigue en el archivo.
Enlaces web juzgados por cómo están escritos. Se enumeran todos los enlaces a páginas web públicas, porque la dirección que hay detrás de un enlace no se ve en la página. Un enlace puesto sobre un texto, una celda o una imagen de una de las maneras corrientes en que Word, Excel y PowerPoint escriben enlaces aparece como nota discreta en Conviene saberlo. Un enlace escrito de cualquier otra manera (en un encabezado o en un comentario, en una acción al pasar el puntero, en una celda que queda debajo de una combinación de celdas o que parece vacía, dentro de una ecuación, bajo un diseño de diapositiva que la diapositiva no muestra) aparece como enlace que sigue en el archivo, se vea o no, porque la herramienta no intenta averiguar dónde se muestra un enlace así. Enlace quiere decir aquí uno que el programa sigue cuando se hace clic en él: un hipervínculo guardado detrás de un texto, una celda, una forma o una imagen, un campo HYPERLINK de Word y una fórmula HYPERLINK de Excel con la dirección escrita entera. Una dirección web que solo está escrita, en el texto, en el texto alternativo de una imagen o en la información en pantalla de un enlace, se trata como texto, según las reglas anteriores para el contenido y para el texto que registra el archivo.
Texto que se muestra pero cuesta ver. Los archivos de Office pueden esconder contenido con interruptores propios: el efecto de fuente Oculto, un objeto marcado como oculto, una fila, columna, hoja o diapositiva oculta, una parte de ecuación configurada para no mostrarse. Las herramientas leen esos interruptores. Lo que no juzgan es el efecto del formato sobre un texto que sí está activo: texto blanco sobre una página blanca, un tamaño de fuente de un punto, una forma colocada encima de un párrafo, un objeto arrastrado fuera de la diapositiva o de la página. Ese texto se trata como contenido normal, así que búscalo tú; las páginas de Office explican dónde.
Nombres y texto alternativo de los objetos que se muestran. Una imagen, una forma o un control que se muestra conserva su nombre y su texto alternativo como parte del archivo, y no se señalan como contenido oculto; solo se enumeran en un objeto oculto o que no se dibuja. Un nombre o un texto alternativo que no es más que una ruta de carpetas se acorta como las demás rutas. Una ruta, una dirección interna o una cuenta metida en uno más largo se señala, y también un nombre registrado en las propiedades del archivo.
Mezclas de cambios aceptados y rechazados. Cuando un documento de Word mantiene su control de cambios, quien lo abre puede aceptar o rechazar cada cambio de forma independiente. No se revisa una a una cada combinación que puedan dar esas decisiones aisladas; se revisa lo que tecleó cada persona, tal cual lo tecleó.
Lo que muestra la imagen. Ni los datos comprimidos de la imagen ni su paleta de colores se examinan: se copian tal como llegan. Una cara, una matrícula o placa, la fachada de una casa, palabras fotografiadas o dibujadas en la imagen: todo eso se queda. Taparlo es trabajo de la herramienta para tapar imágenes (en inglés).
La parte recortada de una imagen en un archivo de Office. Recortar una imagen en Word, Excel o PowerPoint solo esconde los bordes; la imagen entera se queda en el archivo, y cualquiera que lo reciba puede deshacer el recorte. Los metadatos de la imagen se limpian, pero sus píxeles no se tocan, así que la parte cortada sigue ahí tras la limpieza. Para quitarla, selecciona la imagen en Office, elige Comprimir imágenes, que está en la pestaña Formato de imagen, y activa la opción Eliminar las áreas recortadas de las imágenes, o guarda la imagen recortada como un archivo de imagen nuevo e inserta ese en su lugar.
Lo que codifica un valor binario de un archivo de Office. Los formatos guardan unos pocos valores como datos binarios codificados: el hash y la sal de una contraseña que protege una hoja o un documento, los trazos de tinta. Donde un valor así son datos binarios bien formados, con la longitud que pide su clase, la herramienta no intenta sacarle ningún significado. Si en uno de esos lugares hay un valor mal formado, se revisa igual que cualquier otro texto y se señala; la tinta se enumera siempre parte por parte.
Cámara y nombres en el modo Solo la ubicación. Lo que pretende ese modo es quitar el lugar y dejar los demás datos de la toma. Se conservan los campos de fabricante y modelo de la cámara, de software y de objetivo, y también los campos de propietario, artista y copyright. Si alguno de esos campos con nombres no está vacío, aparece en el resultado entre lo que queda. Los números de serie del cuerpo de la cámara y del objetivo también se quedan en este modo, y uno que esté relleno aparece igualmente entre lo que queda, porque es el mismo en todas las fotos de ese aparato.
Perfiles de color. El perfil se conserva, porque quitarlo cambia los colores, y el resultado lo enumera. El texto de un perfil que va más allá de lo que lleva un perfil estándar (una descripción, una línea de copyright, el nombre de un dispositivo) se enumera como elemento propio y lo muestra el visor EXIF; la herramienta no lo reescribe.
Rutas de carpetas con una grafía rara dentro de un texto más largo. Se reconoce un valor que es una ruta desde su primer carácter hasta el último, o un argumento entero entre comillas de un código de campo. Es decir, una raíz (una letra de unidad con o sin barra detrás, una carpeta compartida en red, /, ~, una dirección file: en minúsculas, una variable de entorno, la vieja forma de Mac Macintosh HD:) seguida de dos nombres o más; no hace falta extensión de archivo. Tras una letra de unidad, una carpeta compartida, una carpeta personal o una variable de entorno, los dos separadores se pueden mezclar (C:\Users\Alice/Documents/a.docx, como lo generan los programas escritos para varios sistemas); tras una / sola, los nombres tienen que ir separados por el mismo separador. A dos raíces se les pide más, aunque la ruta sea todo lo que contiene el valor. En un disco de Mac antiguo con nombre propio, una ruta solo cuenta si acaba en un archivo con extensión, como Work Disk:Profiles:Alice:secret.docx, que se reconoce, mientras que Work Disk:Profiles:Alice:plan no, porque las etiquetas separadas por dos puntos, como IT:Applications:Support, se escriben igual. Y File: con mayúscula solo cuenta si a los dos puntos les sigue una barra o una letra de unidad: File:Users no se reconoce, porque los títulos de páginas de wikis como File:Flag_of_Japan.svg tienen ese aspecto. Dentro de un texto más largo se reconocen las grafías comunes: una letra de unidad seguida de una barra (C:\ o C:/), una carpeta compartida en red (\\server\share), una dirección file:, /Users, /home y las demás carpetas habituales del sistema, ~/, las rutas con variables de entorno como %USERPROFILE%\Documents y la vieja forma de Mac Macintosh HD:Users:…. Lo que puede no reconocerse es una ruta con una grafía más rara en mitad de un texto más largo. Un ejemplo es la forma relativa a la unidad en “ver C:x\Alice\notes”. Otro es una raíz sin nada detrás en mitad de una frase, como “ver ~jane/ ahora” o “ver \\fs01\ ahora”: en ese caso no se detecta la cuenta o la máquina que nombra la raíz. Una raíz sola de ese tipo solo se reconoce cuando es todo el argumento entre comillas de un código de campo. Cada ruta que se reconoce se acorta o se enumera.
Nombres de codificador en un video. Cuando una pista está codificada en H.264, H.265 o ProRes, se vacía el campo del nombre del codificador de su descripción (pone “GoPro AVC encoder” en los clips de GoPro y “Lavc61.19.101 libx264” en los archivos exportados con FFmpeg), salvo que su valor entero sea un formato de codificación y nada más (“H.264”, “AVC Coding”, “HEVC”, “HEVC Coding”), caso en el que se queda y no se enumera. Las demás codificaciones mantienen ese campo, y se enumera: algunos decodificadores lo leen (FFmpeg decide con él la disposición de los píxeles del video sin comprimir). Los demás lugares donde un codificador o el software de una cámara escriben su nombre se quedan en un video limpio, en cualquier modo: los códigos de cuatro letras del fabricante en las descripciones de pista y en los manejadores, el texto dentro de otros ajustes de códec y la firma que algunos codificadores colocan al comienzo mismo de lo que es imagen o sonido, que son partes que lee un decodificador. No se ha demostrado que reescribirlos sea seguro para la reproducción, así que se dejan como están. El resultado enumera los nombres que encuentra en el archivo tal como están escritos: se muestran los cinco primeros y se cuentan los demás, se reúnen 32 como máximo por archivo y uno largo se corta a los 100 caracteres. Un nombre así suele indicar qué programa o qué modelo de cámara hizo la grabación. Pero la herramienta no juzga lo que dice el texto, y la firma de un codificador puede contener más que un nombre, por ejemplo una ruta de carpetas del equipo que codificó el video.
Vistas previas dentro de un HEIC. La vista previa que un HEIC guarda como elemento propio se conserva, y el resultado la enumera. Una vista previa guardada como elemento JPEG con metadatos propios se limpia. Si la foto se recortó o se retocó en el teléfono, puede llevar una vista previa más antigua que todavía enseña la imagen como era.
Un solo texto muy largo. Dentro de un único elemento, la comprobación retiene como máximo 4 194 304 caracteres de texto, unos 4 millones. Una parte que contiene uno más largo se limpia igualmente, pero figura como no comprobada, nunca como limpia. En los archivos reales con los que se prueba la herramienta, el texto más largo de un elemento tiene 39 540 caracteres.
Recuentos en estructuras poco habituales. En algunas estructuras poco habituales, un nombre u otro elemento puede contarse más o menos veces de las que aparece, o figurar como posible coincidencia donde en realidad no está; eso no hace que nada quede fuera.
Archivos hechos a propósito para burlar las comprobaciones. Un archivo preparado para colar datos sin que estas herramientas los vean puede llevar algunas formas que no reconocen o no eliminan: grafías, rellenos o codificaciones que ningún programa de Office escribe; partes que se contradicen o que se saltan las reglas del formato; valores escondidos en los números de los ajustes de Photoshop de una foto, que no se muestran por separado; campos de metadatos desmesurados, que pueden ralentizar el visor.

Cómo se prueba el sitio

Antes de publicar una versión, esta pasa por:

Pruebas unitarias del código que analiza y limpia, con archivos reales de cámaras y pequeñas muestras sintéticas, y con una prueba para cada trampa conocida: la orientación de JPEG, los indicadores de la cabecera de WebP, la ubicación de los elementos de HEIC, las posiciones de 64 bits en video, el MP4 fragmentado, varias pistas de datos de GoPro, los dos formatos de subtítulos de DJI, las revisiones y los comentarios de Office, y la alternativa para imágenes grandes. Para los archivos de Office, unos documentos preparados a mano cubren cada construcción que enumeran las páginas de Office; un caso solo pasa si el valor que identifica ha desaparecido de la salida o si el resultado nombra un elemento que le corresponde. Otra prueba falla si la comprobación independiente llega a importar código del limpiador.
Pruebas en el navegador con Chromium, Firefox y WebKit, a tamaño de escritorio y de teléfono. Cada herramienta recibe archivos de muestra, y la prueba falla si entre la elección del archivo y el resultado se produce cualquier petición que no sea GET o cualquier petición a otro sitio, o si la consola informa de un error o de una infracción de la política de seguridad.
Comprobaciones independientes de la salida con ExifTool, ffprobe y LibreOffice: los campos que una herramienta da por eliminados ya no están, los archivos se abren con normalidad, las fotos limpias dan, al descodificarlas, exactamente los mismos píxeles que las originales, y los videos limpios tienen paquetes de audio y de video idénticos. Los archivos de Office limpios tienen que pasar además el validador del Open XML SDK de Microsoft sin ningún error que el original no tuviera ya.
Archivos grandes: fotos de 48 megapíxeles, un video de 2 GB y un lote de 50 archivos, con emulación de teléfono.

Lo que tu navegador revela por sí solo

Esta página trata de archivos. Tu navegador también le cuenta a cada sitio web algunas cosas sobre ti solo por conectarse, como tu dirección IP, tu ubicación aproximada, tu idioma y el tamaño de tu pantalla. Para ver lo que tu navegador revela a los sitios web, puedes hacer una comprobación aparte.

Fuentes (en inglés)

Consultadas el 11 oct. 2026.

Chrome DevTools: el panel Network (en inglés): la grabación, Preserve log y los filtros.
Monitor de red de Firefox (en inglés): cómo abrirlo con Ctrl+Mayús+E o Cmd+Opción+E.
Apple: activar las funciones para desarrolladores web (en inglés): el ajuste Mostrar funciones para desarrolladores web.
Cloudflare Web Analytics: origen y recogida de los datos (en inglés): desde dónde se carga la baliza y adónde envía sus informes.
Open XML SDK en GitHub (en inglés): los datos de esquema publicados con los que la comprobación de Office compara los archivos.

Última actualización: 17 oct. 2026

Cómo comprobar que tus archivos se quedan en tu dispositivo