# 隐私说明

> 你在 StartPrivate 上打开的文件，由浏览器标签页里运行的代码读取和处理；网站没有能接收文件的服务器程序或上传地址。和所有网站一样，托管方能看到每次页面请求的常规信息；一段不用 Cookie 的 Cloudflare 统计脚本会记录页面浏览量；你选的语言保存在你的浏览器里；密码强度页只有在你勾选泄露检查后，才会发出哈希值的前 5 个字符。

本页中文版仅供参考，如与英文版有出入，以[英文版](/privacy/)为准。

## 你的文件

在本站选择照片、视频、文档或其他文件时，浏览器会把文件交给标签页里的页面代码。清理、遮挡、读取、计算校验值和加密，全都在那里完成。结果在标签页的内存里生成，以 blob: 开头的下载地址交给你，这种地址指向你自己的浏览器，而不是某台服务器。

网站收不到你的文件、文件名，也收不到处理结果。整个网站由静态文件组成（页面、脚本、样式和模型），没有能接收文件的服务器端程序、上传接口或数据库。关闭或刷新标签页时，页面放在内存里的东西全部丢弃。你硬盘上的原文件从不被修改，你拿到的永远是另外生成的新副本。

你输入的文字也一样：生成或检测的密码、加密的笔记、粘贴的校验值，都只留在页面上，不会被保存。

## 访问网站时，托管方能看到什么

本站由 Cloudflare 提供服务。和访问任何网站一样，浏览器每请求一个页面或文件，请求都会带着你的 IP 地址、所请求文件的地址、浏览器的用户代理字符串和其他标准请求头到达 Cloudflare 的服务器，有时还会带上把你带过来的那个页面的地址。这些请求数据由 Cloudflare 按其自己的隐私政策处理。本站在这些服务器上不运行任何代码，也不会通过它们得到你文件的副本。

页面发送时带有 `Referrer-Policy: no-referrer` 响应头，所以你从本站点击链接去别的网站时，浏览器不会告诉对方你是从哪个页面过去的。

## 访问统计

每个页面都会加载 Cloudflare Web Analytics，这是一段来自 `static.cloudflareinsights.com` 的小脚本。它上报页面浏览量和页面速度数据，编辑看到的是按页面、来源网站、国家或地区、浏览器、操作系统和设备类型汇总的总数。Cloudflare 表示，Web Analytics 收集这些指标时不使用 Cookie 或本地存储，也不按 IP 地址或用户代理识别访客。

页面打开时会发出一次上报，你离开或切走页面时再发一次。这些上报带的是页面的计时数据，不是你打开的任何文件的内容。如果你用内容拦截插件屏蔽了这段脚本，所有工具照样能用。

## Cookie 和浏览器存储

本站不设置任何 Cookie。

- **语言选择**：当你打开某种语言的页面，或者在语言菜单里选了一种语言时，这个选择会以本站地址保存在浏览器的本地存储里，这样只有英文正文的工具页也能用你的语言显示按钮。存的只是一个两个字母的语言代码，别无其他。在浏览器里清除本站数据就会删掉它。
- **下载过的组件**：文字识别组件第一次使用后，会把它的英文语言数据存一份在浏览器存储（IndexedDB）里，下次不用再下载。浏览器的普通缓存也可能留着本站的文件和模型。这些都是本站文件的副本，不是从你的文件里得到的任何东西。
- **安装为应用**：如果你把本站添加到主屏幕或桌面，浏览器可以保存本站文件的副本，让工具在没有网络时也能打开。在 Android 上，通过分享菜单发送给已安装应用的照片或视频，会暂存在本机浏览器的 IndexedDB 中；清理页面读取后会删除这份暂存文件。文件不会上传到服务器。

## 只在你需要时才下载的文件

有些工具要用到较大的组件。它们只来自本站，不来自其他服务器，并且只在你点了需要它们的按钮时才下载：

- **找人脸**：TensorFlow.js 的 WebAssembly 引擎和 YuNet 人脸模型，约 1 MB。
- **找文字和二维码**：Tesseract 文字识别引擎及英文语言数据，加上 ZXing 条码读取器，大小显示在按钮旁边。
- **内容凭证查看器**：约 8.6 MB 的 C2PA 读取器，页面先确认你的文件里确实有凭证才会下载。
- **Office 清理、密码强度和密码短语**：fflate 压缩库、zxcvbn-ts 词表和 EFF 词表，在相应页面需要时加载。

这些请求都不包含你的文件。

## 可选的泄露检查

密码强度页上有一个会向其他服务发送数据的选项：“检查已知数据泄露”。页面打开时它是关闭的。勾选后，浏览器在本地算出密码的 SHA-1 哈希值，只把 40 个字符中的前 5 个发给 `api.pwnedpasswords.com`，也就是 Have I Been Pwned 运营的 Pwned Passwords 服务。对方返回所有开头相同的泄露哈希值，比对由你的浏览器完成，密码本身从不发送。和任何网络请求一样，该服务能看到你的 IP 地址和普通的浏览器请求头；这个请求不带 Cookie，也不带来源页面。这是本站唯一一个安全策略允许连接本站和统计服务以外地址的页面，而且只放行这一个地址。

## 加密笔记链接

在文本加密页生成的笔记链接，把加密后的笔记放在地址的 `#` 后面。浏览器不会把这一部分发给服务器，所以本站只收到一个打开页面的请求。用“只凭链接打开”方式加密的笔记，任何拿到完整链接的人都能读，包括你用来转发链接的那个应用。

## 电子邮件

如果你写信到 [hello@startprivate.com](mailto:hello@startprivate.com)，你的来信和邮箱地址只用于回复你，不会加进任何邮件列表。请不要附上私人文件，把问题描述清楚通常就够了。

## 儿童

本站没有账号、没有个人资料，也没有提交个人信息的表单。它不是为收集任何人的个人信息而建，儿童也一样；上面说的访问统计对每位访客的方式都相同。

## 变更

如果本站处理信息的方式有变，会先更新这一页。最后更新日期显示在页面底部。

## 资料来源

2026-10-11 核对。

- [Cloudflare Web Analytics](https://www.cloudflare.com/web-analytics/)：不使用 Cookie 或本地存储这类客户端状态，不按 IP 地址或用户代理识别访客。
- [Cloudflare Web Analytics 维度说明](https://developers.cloudflare.com/web-analytics/data-metrics/dimensions/)：国家、路径、来源、浏览器、操作系统和设备类型。
- [Have I Been Pwned API v3](https://haveibeenpwned.com/API/v3)：Pwned Passwords 范围查询和响应填充的工作方式。

Last updated: 2026-10-11