Abra as ferramentas de desenvolvedor do navegador, vá para o painel Rede, limpe a lista e então escolha e processe um arquivo: a lista não deve mostrar nenhum pedido novo levando o seu arquivo, nem nada indo para outro site. Os únicos pedidos que você vai ver vêm do carregamento da página, dos componentes que você pediu (modelos e arquivos WebAssembly deste site) e do sinalizador de estatísticas do Cloudflare.

Por que conferir

Todas as páginas deste site dizem que os arquivos são processados no seu navegador e não são enviados. Isso é uma afirmação, e afirmações sobre privacidade custam pouco. O código-fonte do site não é publicado; então, em vez de pedir que você o leia, esta página mostra como observar o que a página faz de fato. Os navegadores registram cada pedido de rede feito por uma página e deixam qualquer pessoa ver esse registro.

A verificação no Chrome ou no Edge

Abra a página da ferramenta que você quer testar, por exemplo a de remover metadados de foto.
Pressione F12 (no Mac, Cmd+Option+I; no Windows e no Linux, o atalho Ctrl+Shift+I também serve) e, no painel que se abre, clique na aba Rede.
Marque Preservar registro, para a lista não ser apagada se a página mudar, e depois clique no botão de limpar (um círculo cortado por uma linha) para esvaziar a lista.
Escolha um arquivo na ferramenta e espere ela terminar. Use os botões de que a ferramenta precisar, como os de iniciar ou exportar, e baixe o resultado.
Olhe a lista. Na caixa de filtro, digite method:POST para ver só os pedidos que enviam dados e depois -domain:startprivate.com para ver só os pedidos a outros sites. Nenhum dos dois filtros deve mostrar nada que tenha acontecido enquanto o seu arquivo era processado.

A verificação no Firefox

Abra a página da ferramenta.
Pressione Ctrl+Shift+E no Windows e no Linux ou Cmd+Option+E no Mac para abrir direto o Monitor de Rede.
No menu de configurações do painel (o ícone de engrenagem), ative Persistir logs e depois clique no ícone de lixeira para limpar a lista.
Escolha e processe um arquivo e depois baixe o resultado.
Leia a lista. A caixa de filtro aceita o mesmo tipo de filtro, por exemplo method:POST, e você pode clicar em qualquer linha para ver para onde o pedido foi e o que levou.

A verificação no Safari, no Mac

Escolha Safari → Ajustes, abra Avançado e marque Mostre recursos para desenvolvedores da web. Aparece um menu Desenvolvedor.
Abra a página da ferramenta, escolha Desenvolvedor → Mostrar Inspetor da Web (Option-Command-I) e clique na aba Rede.
Limpe a lista com o botão de lixeira.
Escolha e processe um arquivo e baixe o resultado.
Percorra as linhas novas, se houver alguma, e clique numa delas para ver o endereço e o método.

No iPhone ou no iPad, o Safari não tem um painel Rede próprio. Você pode ativar o Inspetor da Web nos ajustes do Safari no aparelho, em Avançado, ligar o aparelho a um Mac com um cabo e inspecionar a aba dele pelo menu Desenvolvedor do Mac. O Chrome no Android pode ser inspecionado do mesmo jeito a partir do Chrome do computador, em chrome://inspect.

O que você vai ver, e o que significa

Quando a página carrega: a própria página, uma folha de estilos, alguns arquivos de script em /assets/, às vezes um pequeno arquivo de idioma, ícones e o manifesto do app. Tudo vem de startprivate.com. Você também vai ver o script de estatísticas de static.cloudflareinsights.com.

Quando você toca num botão que precisa de um componente: uma leva de pedidos GET a startprivate.com por arquivos de programa e modelos, por exemplo em /v/ e /assets/. É o detector de rostos (cerca de 1 MB), o leitor de texto, o leitor de credenciais de conteúdo (Content Credentials, C2PA; cerca de 8,6 MB), a biblioteca do Office ou as listas de palavras das senhas sendo baixados. São arquivos vindo até você, não o seu arquivo saindo. Clique num deles e você verá um pedido GET com o corpo vazio.

Enquanto o seu arquivo é escolhido e processado: nada de novo que saia do seu aparelho. Pode aparecer alguma entrada cujo endereço começa com blob: ou data:. São endereços dentro do seu próprio navegador, usados para prévias e downloads; eles nunca chegam à rede.

O sinalizador de estatísticas: o Cloudflare Web Analytics manda um pequeno relatório quando a página carrega e outro quando ela fica escondida ou é fechada, então trocar de aba pode acrescentar uma linha. Conforme a forma como o site é servido, o relatório vai para /cdn-cgi/rum neste site ou para cloudflareinsights.com. Clique nele e abra o conteúdo enviado (payload): ele traz medidas de tempo da página e o endereço da página, não o conteúdo de arquivos. Se você bloqueá-lo com um bloqueador de conteúdo, as ferramentas funcionam exatamente do mesmo jeito.

Uma exceção proposital: na página de força de senha, marcar Verificar vazamentos de dados conhecidos envia um pedido GET para api.pwnedpasswords.com com 5 caracteres de um hash. A opção vem desligada, e nenhuma outra página tem permissão para se conectar a lugar nenhum além deste site e do endereço de estatísticas.

Uma segunda linha de defesa: a política de segurança

Toda página é servida com um cabeçalho Content-Security-Policy. Entre outras coisas, ele diz ao navegador que a página só pode se conectar a este site e ao endereço de estatísticas do Cloudflare, e só pode carregar scripts deste site e o script de estatísticas. Se algum código da página tentasse mandar dados para outro lugar, o próprio navegador bloquearia a tentativa e registraria um erro. Você pode ler a política no painel Rede: clique na primeira linha (a página) e procure content-security-policy em Cabeçalhos de resposta. Na página de força de senha, ela traz um endereço a mais, o da lista de vazamentos.

Os scripts e os estilos de cada página levam também hashes de Subresource Integrity, e assim o navegador se recusa a executar um arquivo que não corresponda à versão que a página espera.

Como funciona cada tipo de ferramenta

Fotos (JPEG, PNG, WebP, HEIC). Os metadados são removidos byte a byte. A ferramenta percorre os segmentos, blocos ou caixas do arquivo, descarta os que guardam EXIF, GPS, XMP, IPTC, notas do fabricante, credenciais de conteúdo, comentários e miniaturas embutidas, e copia os dados da imagem sem alteração. A imagem nunca é decodificada nem recodificada, então fica idêntica pixel por pixel. A marcação de rotação e o perfil de cor são mantidos, para que a foto continue sendo exibida do jeito certo. O perfil fica como está, textos curtos incluídos (uma descrição, uma linha de direitos autorais, às vezes o nome de um aparelho ou de quem montou o perfil): o resultado o cita entre o que ficou, e o visualizador de EXIF mostra esses textos. No modo Só a localização, o bloco EXIF é editado onde está, e só se a ferramenta conseguir lê-lo por inteiro: as entradas de uma lista fixa (datas, câmera, configurações, números de série, nomes do dono e do autor) ficam quando contêm o que uma entrada dessas deve conter; toda outra entrada é apagada, assim como uma entrada da lista gravada com outro tipo ou outra contagem que não os esperados, ou um número mantido que soletre três letras de um nome; e um bloco que não dá para ler até o fim é retirado inteiro. Essa verificação de números vale só para campos numéricos, os números de EXIF que este modo mantém e os números dentro de um perfil de cor (mantido nos dois modos); câmeras e celulares não gravam nomes ali, só um arquivo montado de propósito faria isso. Ela pega letras latinas, gregas e cirílicas escritas como bytes simples, em UTF-8 ou em caracteres de 16 bits, inclusive acentos escritos como sinais separados; uma letra acentuada guardada num único byte e outros sistemas de escrita, o chinês entre eles, não têm como ser distinguidos de números. Num perfil de cor, o tamanho do perfil e o número de pontos de uma curva não são lidos como letras quando batem com a estrutura do perfil e ficam dentro do que perfis reais usam (1 MB, 64 tags, 4.096 pontos de curva); um perfil fora disso é listado como contendo dados que um perfil padrão não traz. Campos de texto como o autor ou os direitos autorais são outra história, tratada abaixo em Câmera e nomes no modo Só a localização. Os dados que um JPEG guarda atrás da imagem principal, como um mapa de ganho Ultra HDR ou o trecho de vídeo de uma foto com movimento, são sempre descartados. Arquivos que a ferramenta não consegue percorrer de ponta a ponta são recusados de cara, assim como os tipos que ela não cobre: JPEG com codificação aritmética e JPEG hierárquico, sequências de imagens HEIC, AVIF animado e HEIC com caixas desconhecidas.

Vídeo (MP4, MOV). Das faixas, só as de vídeo e de áudio são mantidas. As outras (telemetria de GPS e de sensores, timecode, dados próprios da câmera e faixas de legenda, a menos que você escolha mantê-las) são preenchidas com zeros e marcadas como espaço livre, caixas de metadados como udta, meta e uuid são esvaziadas, e os horários de criação e de modificação são zerados. Uma caixa uuid fica: a caixa de vídeo esférico do Google na faixa de um vídeo 360°, que guarda a projeção e o nome do programa que costurou as imagens e da qual os players precisam para mostrar o vídeo em 360°; ela é listada como mantida. Das configurações de codec das faixas mantidas, um campo é esvaziado quando uma faixa de imagem é codificada em H.264, H.265 ou ProRes: o lugar da descrição em que um codificador escreve o próprio nome (num arquivo da GoPro, ali está "GoPro AVC encoder"), a menos que esse lugar contenha só o nome do formato de codificação. Outras codificações conservam esse campo. O resto não é editado e ainda pode citar o codificador, e o resultado lista cada um desses nomes com o texto correspondente. O tamanho do arquivo continua o mesmo, imagem e som não são recodificados, e a saída é montada a partir de fatias do seu original mais pequenos remendos, então arquivos de vários gigabytes funcionam sem ser carregados na memória.

Arquivos do Office (DOCX, XLSX, PPTX). São arquivos zip de arquivos XML, descompactados num processo em segundo plano e tratados em duas etapas separadas. Primeiro vem o limpador. Ele remove as propriedades de autor e de empresa, os comentários e seus autores, as propriedades personalizadas, o texto oculto, os identificadores de sessão de edição, os registros de coautoria, as tags de suplementos, as configurações de mala direta e de publicação na web e os dados de rótulo de confidencialidade, e trata as alterações controladas aceitando-as ou ocultando quem as fez (você escolhe). Os caminhos de pasta são reduzidos ao nome do arquivo sempre que um valor é com certeza o local de um arquivo: o destino de um link, uma descrição de imagem feita só de um caminho, o arquivo que um campo do Word deve buscar (não o resto do texto de um código de campo) e o ponto de uma fórmula do Excel que cita outra pasta de trabalho (não o texto digitado entre aspas). Um caminho encontrado em qualquer outro lugar fica como foi escrito e é listado no resultado. Um caso escapa às duas regras: um local que uma fórmula monta a partir de pedaços de texto separados não é reconhecível como caminho, e só é listado um pedaço que, sozinho, pareça um. Algumas coisas são mantidas de propósito: assinaturas digitais, campos no texto que mostram o autor ou o nome do arquivo, conexões de dados, dados de suplementos, endereços de e-mail por trás de links e links para endereços de rede privada. A segunda etapa é uma verificação independente do arquivo pronto. Ela não compartilha nenhuma lista com o limpador e compara a saída, parte por parte e atributo por atributo, com as definições publicadas do formato (os dados de esquema que acompanham o Open XML SDK da Microsoft). Uma parte, um elemento ou um atributo só conta como verificado quando as definições o conhecem e ele está limpo. Tudo o mais que houver ali, inclusive os itens mantidos de propósito e qualquer parte ou marcação que a ferramenta não reconheça, é listado no topo do resultado com o nome da parte que o contém, no lugar de uma declaração de que o arquivo está limpo. Como último passo, os nomes, as iniciais e os identificadores de conta lidos do arquivo original são procurados em todas as partes do arquivo limpo, e os que aparecerem também são listados. Se um nome registrado nas propriedades do arquivo (o autor, a última pessoa que o salvou, o autor de um comentário e assim por diante) aparece também no próprio texto do documento, ele é listado entre os avisos, esteja esse texto à vista ou oculto; se o nome fica, cabe a você conferir e decidir. Alguns casos geram uma observação discreta em vez de um aviso: um texto no conteúdo que se parece com um caminho de pasta, um endereço interno ou uma conta (veja os limites abaixo); e um nome registrado que não pôde ser procurado, seja por ter só uma ou duas letras ou algarismos, seja porque a parte do original que o contém não pôde ser lida. Uma parte conta como não lida quando um leitor que segue o padrão XML se recusa a lê-la, mesmo que nomes tenham sido encontrados nela; o mesmo vale para uma parte com declaração de tipo de documento ou cuja codificação declarada não seja nenhuma de UTF-8, UTF-16, windows-1252, ISO-8859-1 e US-ASCII. Algumas palavras padrão, como "User", nem chegam a ser procuradas; a seção Limites, abaixo, diz quais são. As partes são descompactadas uma de cada vez, dentro de limites fixos (64 MB para uma parte ou imagem, 256 MB para todas as partes de texto juntas, 512 MB para tudo o que há no pacote, imagens e partes não abertas incluídas, um milhão de peças de XML numa parte, contando cada elemento, comentário e trecho de texto entre tags, 512 níveis de aninhamento, 2.048 numa parte lida numa só passagem, 2.000 atributos num elemento e 10.000 entradas no pacote), e assim um arquivo feito para esgotar a memória é recusado, não processado. Uma tabela de antes e depois lista o que mudou. As fotos embutidas (JPEG, PNG, WebP, HEIC) passam pelo limpador de fotos; qualquer outra imagem, arquivo de mídia ou objeto embutido não é aberto e aparece no resultado como deixado no arquivo.

Visualizador de credenciais de conteúdo. A página primeiro verifica, no próprio aparelho, se um arquivo contém dados C2PA. Só então carrega o leitor, configurado para não buscar manifestos remotos, status de revogação nem listas de confiança. É por isso que ele informa se uma assinatura está intacta, e não se quem assinou é confiável.

Ocultação. O editor desenha uma cópia de trabalho num canvas, limitada a cerca de 2.048 pixels por lado, e guarda as caixas nas coordenadas do original. A exportação pinta de novo a imagem em tamanho real com as coberturas e codifica um arquivo novo num processo em segundo plano, e é por isso que nenhum metadado vai junto. Se o navegador não conseguir codificar no tamanho total, ele tenta de novo com 4.096 pixels. O detector de rostos é o modelo YuNet rodando no TensorFlow.js Web; o leitor de texto é o mecanismo de OCR Tesseract, mais regras de padrões e o leitor de códigos de barras ZXing.

Senhas e frases secretas. Toda a aleatoriedade vem do crypto.getRandomValues do navegador, com amostragem por rejeição, para que cada caractere ou palavra tenha exatamente a mesma chance. Nada do que é gerado é guardado ou enviado.

Hashes de arquivos. Os arquivos são lidos em fatias de 8 MiB num processo em segundo plano e passados às implementações de SHA-2, SHA-1 e MD5 da hash-wasm.

Criptografia de texto. AES-256-GCM da Web Crypto API do navegador, com chaves derivadas de senhas pelo Argon2id (64 MiB, 3 passagens) da hash-wasm.

Força de senha. O zxcvbn-ts dá a nota da senha na própria página; a verificação de vazamentos descrita acima é a única parte que pode fazer um pedido.

Limites

Estas ferramentas removem o que reconhecem e listam o que mantêm. Um resultado que não lista nada quer dizer, portanto, "não foi encontrado nada do que esta ferramenta verifica", nunca "este arquivo não diz nada sobre você". Eis o que as ferramentas não fazem.

Caminhos que uma fórmula monta. Uma fórmula do Excel pode montar um endereço ou um caminho de pasta a partir de textos separados, por exemplo ="D:\Team\" & B2 & "\plan.xlsx". Perceber que o resultado é um caminho exigiria calcular a fórmula, e a ferramenta só a lê. Um pedaço isolado que parece um caminho, aqui "D:\Team\", ainda é listado.
Nomes que são palavras padrão comuns. Se o nome ou a empresa registrados nas propriedades de um arquivo do Office forem exatamente "user", "admin", "administrator", "owner", "author", "guest", "unknown", "test" ou "microsoft", em maiúsculas ou não, a propriedade é removida como qualquer outra, mas essa palavra não é procurada no resto do arquivo. Ela aparece nos nomes de fontes, temas e estilos de arquivos comuns, e quase todo achado seria falso. Um nome, uma empresa ou uma conta registrados com só uma ou duas letras latinas ou algarismos ("HP", "Jo") também não são procurados, nem um valor sem nenhuma letra ou algarismo, nem um identificador feito só de zeros; nesses casos, o resultado avisa no arquivo em questão. Um nome em outro sistema de escrita, como o chinês ou o árabe, é procurado com qualquer tamanho. As iniciais que o Word e o PowerPoint guardam ao lado do autor de um comentário são a única exceção a esse aviso: quando têm uma ou duas letras ou algarismos, não são procuradas e nada é dito, porque o nome completo do autor, que é procurado, está bem ao lado delas. Iniciais de três caracteres ou mais são procuradas como um nome.
Nomes escritos em código. Depois da limpeza, a ferramenta procura no arquivo cada nome, cada conjunto de iniciais e cada conta registrados no original. Ela compara cada texto do jeito que está e de novo com uma lista fixa de grafias desfeitas, dez ao todo: referências de caractere do XML (J); a forma _x004A_ que o Excel usa; escapes de porcentagem (%4A); diferenças de maiúsculas e minúsculas, de largura e de caracteres que não aparecem; aspas escritas duas vezes dentro de uma fórmula; um apóstrofo escrito duas vezes no nome entre aspas de uma planilha ou de uma pasta de trabalho ('O''Brien'!A1); && no lugar de um e comercial num cabeçalho ou rodapé do Excel; + no lugar de um espaço depois do ? de um endereço de link; \" e \\ num código de campo do Word; e os escapes de texto JSON (\u004A), que os gerenciadores de referências guardam em códigos de campo. Cada uma vale só no tipo de lugar em que o formato a usa. Nada mais é decodificado: um nome guardado em base64, como domínio internacionalizado na forma xn-- ou escrito com as barras invertidas que um formato numérico usa (\J\a\n\e) só é encontrado onde também aparece na forma simples.
Caminhos e endereços internos no que o próprio documento diz. O texto de um documento, as células de uma pasta de trabalho e as palavras de um slide são seus, e a ferramenta não os edita. Ela aponta, numa observação Bom saber abaixo do resultado, o texto ali que se parece com um caminho de pasta com letra de unidade, uma pasta compartilhada da rede, uma pasta pessoal (~, /Users/…, /home/…) ou uma variável como %USERPROFILE%, com um endereço dentro de uma rede privada (http://intranet/…) ou com um identificador de conta. A observação diz com o que o texto se parece, não que ele seja isso. Outros textos com forma de caminho não recebem observação: a parte de caminho de um endereço da web (/v1.0/teams), um XPath, uma linha de código de exemplo que começa com //, localhost, um servidor de exemplo escrito entre chaves. Os mesmos valores em lugares que o leitor não vê (propriedades, nomes definidos, destinos de links, códigos de campo) são listados como antes, no quadro do que ainda está no arquivo.
Links da web julgados pela forma como estão escritos. Todo link para uma página pública da web é listado, porque o endereço por trás de um link não aparece na página. Um link preso a um texto, a uma célula ou a uma imagem de um dos jeitos comuns em que o Word, o Excel e o PowerPoint gravam links é listado como observação discreta em Bom saber. Um link escrito de qualquer outro jeito (num cabeçalho ou num comentário, numa ação ao passar o mouse, numa célula coberta por uma mesclagem ou com cara de vazia, dentro de uma equação, num layout de slide que o slide não mostra) é listado como link que continua no arquivo, dê para vê-lo ou não, já que a ferramenta não tenta descobrir onde um link assim aparece. Link, aqui, quer dizer um que o programa segue quando é clicado: um hiperlink guardado por trás de um texto, de uma célula, de uma forma ou de uma imagem, um campo HYPERLINK no Word e uma fórmula HYPERLINK no Excel cujo endereço esteja escrito por inteiro. Um endereço da web que está só escrito, no texto, no texto alternativo de uma imagem ou na dica de tela de um link, é tratado como texto, segundo as regras acima para o conteúdo e para o texto que o arquivo registra.
Texto que aparece, mas é difícil de ver. Os arquivos do Office podem esconder conteúdo com opções próprias: o efeito de fonte Oculto, um objeto marcado como oculto, uma linha, coluna, planilha ou slide oculto, uma parte de equação configurada para não aparecer. As ferramentas leem essas opções. Elas não julgam o que a formatação faz com um texto que essas opções deixam à vista: texto branco numa página branca, fonte de um ponto, uma forma posta por cima de um parágrafo, um objeto arrastado para fora do slide ou da página. Um texto assim é tratado como conteúdo comum, então procure-o você mesmo; as páginas do Office dizem onde.
Nomes e texto alternativo de objetos que aparecem. Uma imagem, uma forma ou um controle que aparece mantém o nome e o texto alternativo como parte do arquivo, e eles não são informados como conteúdo oculto; só um objeto oculto ou que não é desenhado tem esses dados listados. Um nome ou um texto alternativo que não passa de um caminho de pasta é encurtado como os outros caminhos. Um caminho, um endereço interno ou uma conta dentro de um texto mais longo é informado, e o mesmo vale para um nome registrado nas propriedades do arquivo.
Combinações de alterações controladas aceitas e rejeitadas. Quando um documento do Word mantém as alterações controladas, quem o abre pode aceitar ou rejeitar cada alteração por conta própria. As combinações que essas escolhas separadas produzem não são verificadas uma a uma; o que cada pessoa digitou, do jeito que digitou, é verificado.
O que a imagem mostra. Os dados comprimidos da imagem e a paleta de cores são copiados sem ser examinados. Um rosto, uma placa de carro, uma fachada, palavras que foram fotografadas ou desenhadas na imagem: tudo isso fica. Cobrir essas coisas é tarefa da ferramenta de ocultação (em inglês).
A parte cortada de uma imagem num arquivo do Office. Cortar uma imagem no Word, no Excel ou no PowerPoint só esconde as bordas; a imagem inteira fica no arquivo, e qualquer pessoa que o receba pode desfazer o corte. A ferramenta limpa os metadados da imagem, mas não toca nos pixels, então a parte cortada continua lá depois da limpeza. Para removê-la, selecione a imagem no Office, na guia Formato da Imagem, escolha Compactar Imagens e marque Excluir áreas cortadas das imagens, ou salve a imagem cortada como um novo arquivo de imagem e insira esse arquivo no lugar.
O que um valor binário num arquivo do Office codifica. Os formatos guardam alguns valores como dados binários codificados: o hash e o sal de uma senha que protege uma planilha ou um documento, os traços da tinta digital. Onde um valor assim é um dado binário bem formado, com o comprimento que o tipo dele pede, a ferramenta não tenta extrair dele um significado. Um valor num lugar desses que não seja bem formado é verificado como qualquer outro texto e informado; a tinta é sempre listada parte por parte.
Câmera e nomes no modo Só a localização. O objetivo desse modo é tirar o lugar e deixar os outros fatos sobre a foto. Fabricante e modelo da câmera, software e campos da lente ficam, e o mesmo vale para os campos de dono, artista e direitos autorais. Onde um desses campos de nome contém algo, o resultado o mostra entre o que ficou. Os números de série do corpo da câmera e da lente também ficam neste modo, e um que esteja preenchido aparece igualmente entre o que ficou, já que é idêntico em todas as fotos daquele aparelho.
Perfis de cor. Um perfil é mantido, porque removê-lo muda as cores, e o resultado o lista. O texto num perfil além do que um perfil padrão traz (uma descrição, uma linha de direitos autorais, o nome de um aparelho) é listado como item próprio e mostrado pelo visualizador de EXIF; a ferramenta não o reescreve.
Caminhos de pasta com grafia rara dentro de um texto mais longo. Reconhecido: um valor que é um caminho do primeiro ao último caractere, ou um argumento inteiro entre aspas de um código de campo. Isso quer dizer uma raiz (uma letra de unidade com ou sem barra depois, uma pasta compartilhada da rede, /, ~, um endereço file: em minúsculas, uma variável de ambiente, o antigo Macintosh HD: do Mac) seguida de dois ou mais nomes; não é preciso extensão de arquivo. Depois de uma letra de unidade, de uma pasta compartilhada, de uma pasta pessoal ou de uma variável de ambiente, os dois separadores podem vir misturados (C:\Users\Alice/Documents/a.docx, como produzem os programas escritos para vários sistemas); depois de uma / sozinha, os nomes precisam ser divididos pelo mesmo separador. Duas raízes têm de cumprir mais, mesmo quando o caminho é tudo o que o valor contém. Um caminho antigo de Mac num disco com nome próprio só conta quando chega a um arquivo com nome e extensão: Work Disk:Profiles:Alice:secret.docx é reconhecido e Work Disk:Profiles:Alice:plan não, porque rótulos divididos por dois-pontos, como IT:Applications:Support, se escrevem do mesmo jeito. E File: com inicial maiúscula só conta quando uma barra ou uma letra de unidade vem depois dos dois-pontos: File:Users não é reconhecido, porque títulos de páginas de wiki como File:Flag_of_Japan.svg têm essa cara. Dentro de um texto mais longo, as grafias comuns são reconhecidas: uma letra de unidade seguida de barra (C:\ ou C:/), uma pasta compartilhada da rede (\\server\share), um endereço file:, /Users, /home e as outras pastas de sistema usuais, ~/, caminhos com variável de ambiente como %USERPROFILE%\Documents e a forma antiga do Mac, Macintosh HD:Users:…. O que pode não ser reconhecido é um caminho numa grafia mais rara no meio de um texto mais longo. Um exemplo é a forma relativa à unidade em "veja C:x\Alice\notes". Outro é uma raiz sem nada depois no meio de uma frase, como "veja ~jane/ agora" ou "veja \\fs01\ agora": nesse caso, a conta ou a máquina citada na raiz não é destacada. Uma raiz solta assim só é reconhecida onde é o argumento inteiro entre aspas de um código de campo. Todo caminho reconhecido é encurtado ou listado.
Nomes de codificador num vídeo. Onde uma faixa é codificada em H.264, H.265 ou ProRes, o campo da descrição que guarda o nome do codificador é apagado (ele diz "GoPro AVC encoder" nos clipes da GoPro e "Lavc61.19.101 libx264" nos arquivos exportados com o FFmpeg), a menos que o valor inteiro seja um formato de codificação e nada mais ("H.264", "AVC Coding", "HEVC", "HEVC Coding"), caso em que fica e não é listado. Outras codificações mantêm esse campo, e ele é listado: alguns decodificadores o leem (o FFmpeg escolhe por ele o arranjo de pixels de vídeo sem compressão). Os outros lugares em que um codificador ou o software de uma câmera grava o próprio nome ficam no vídeo limpo, em todos os modos: os códigos de fabricante de quatro letras que aparecem nas descrições e nos manipuladores (handlers) das faixas, o texto dentro de outras configurações de codec e o cabeçalho de texto que alguns codificadores inserem bem no começo dos dados de imagem ou de som, que são partes que um decodificador lê. Não foi demonstrado que reescrevê-los seja seguro para a reprodução, então eles ficam como estão. O resultado lista os nomes que encontra no arquivo do jeito que estão escritos: os cinco primeiros aparecem e o resto é contado, no máximo 32 são reunidos por arquivo, e um nome longo é truncado em 100 caracteres. Um nome assim costuma dizer qual programa ou modelo de câmera fez a gravação. A ferramenta, porém, não julga o que o texto diz, e o cabeçalho de um codificador pode conter mais do que um nome, por exemplo um caminho de pasta do computador que codificou o vídeo.
Prévias dentro de um HEIC. A imagem de prévia que um HEIC guarda como item próprio é mantida, e o resultado a lista. Uma prévia guardada como item JPEG com metadados próprios é limpa. Uma foto que foi cortada ou editada no celular pode trazer uma prévia mais antiga, que ainda mostra a imagem como era antes.
Um texto muito longo. Dentro de um único elemento, a verificação guarda no máximo 4.194.304 caracteres de texto, cerca de 4 milhões. Uma parte que contenha um texto mais longo ainda é limpa, mas é listada como não verificada, nunca como limpa. Nos arquivos reais com que a ferramenta é testada, o texto mais longo de um elemento tem 39.540 caracteres.
Contagens em estruturas incomuns. Em algumas estruturas incomuns, um nome ou outro item pode ser contado mais ou menos vezes do que aparece, ou listado como possível ocorrência onde na verdade não está; nada fica de fora por causa disso.
Arquivos montados de propósito para passar pelas verificações. Um arquivo feito para esconder dados destas ferramentas pode trazer algumas formas que elas não conseguem reconhecer ou remover: grafias, enchimentos ou codificações que nenhum programa do Office grava; partes que se contradizem ou quebram as regras do formato; valores escondidos nos números das configurações do Photoshop de uma foto, que não são mostrados um a um; campos de metadados enormes, que podem deixar o visualizador lento.

Como o site é testado

Antes de ser publicada, cada versão passa por:

Testes unitários do código de leitura e de limpeza, com arquivos reais de câmeras e pequenas amostras sintéticas, e um teste para cada armadilha conhecida: orientação de JPEG, flags de cabeçalho de WebP, locais de itens em HEIC, deslocamentos de 64 bits em vídeo, MP4 fragmentado, várias faixas de dados da GoPro, os dois formatos de legenda da DJI, revisões e comentários do Office e o plano B para imagens grandes. Para os arquivos do Office, documentos montados à mão cobrem cada construção que as páginas do Office listam; um caso só passa se o valor identificador sumiu da saída ou se o resultado cita um item correspondente. Outro teste falha se a verificação independente algum dia importar o código do limpador.
Testes de navegador no Chromium, no Firefox e no WebKit, em tamanhos de computador e de celular. Cada ferramenta recebe arquivos de amostra, e o teste falha se qualquer pedido que não seja GET, ou qualquer pedido a outro site, acontecer entre a escolha do arquivo e o resultado, ou se o console informar um erro ou uma violação da política de segurança.
Verificações independentes da saída com ExifTool, ffprobe e LibreOffice: os campos que uma ferramenta diz ter removido não estão mais lá, os arquivos abrem normalmente, as fotos limpas decodificam exatamente nos mesmos pixels que as originais, e os vídeos limpos têm pacotes de áudio e de vídeo idênticos. Os arquivos do Office limpos também precisam passar no validador do Open XML SDK da Microsoft sem nenhum erro que o original já não tivesse.
Arquivos grandes: fotos de 48 megapixels, um vídeo de 2 GB e um lote de 50 arquivos, em emulação de celular.

O que o seu navegador revela por conta própria

Esta página trata de arquivos. Só por se conectar, o seu navegador também conta a todo site algumas coisas sobre você, como o seu endereço IP, a localização aproximada, o idioma e o tamanho da tela. Para ver o que o seu navegador revela aos sites, você pode fazer uma verificação à parte.

Fontes (em inglês)

Consultadas em 11/10/2026.

Chrome DevTools: painel Rede: gravação, Preservar registro e filtros.
Monitor de Rede do Firefox: como abri-lo com Ctrl+Shift+E ou Cmd+Opt+E.
Apple: ativar os recursos para desenvolvedores web: o ajuste Mostre recursos para desenvolvedores da web.
Cloudflare Web Analytics: origem e coleta dos dados: de onde o sinalizador é carregado e para onde envia os relatórios.
Open XML SDK no GitHub: os dados de esquema publicados com que a verificação do Office compara os arquivos.

Última atualização: 17/10/2026

Como conferir que os seus arquivos ficam no seu aparelho