Почему обработка изображений в браузере — выигрыш для приватности

Ожидание по умолчанию ошибочно

На протяжении большей части последних двадцати лет любая нетривиальная работа с изображением в вебе означала загрузку файла на сервер. Конвертировать фото HEIC, удалить из него EXIF-метаданные, сгенерировать favicon — исторически все такие инструменты прятались за multipart-формой. Пользователь нажимал upload, файл проходил через публичный интернет, а где-то сервер выполнял работу.

Технически такая схема больше не обязательна. Уже несколько лет в браузерах есть API, которые позволяют запускать весь конвейер локально:

• <canvas> и OffscreenCanvas для работы на уровне пикселей
• createImageBitmap() для быстрого декодирования вне основного потока
• File и Blob для чтения загруженных файлов без отправки куда-либо
• WebAssembly для библиотек вроде libheif, libwebp и ffmpeg
• Web Workers чтобы интерфейс оставался отзывчивым, пока выполняется тяжёлая работа

Если собрать это вместе, файл никогда не покидает устройство. Сервер его не видит. Нечего логировать, нечему утечь, нечего изымать по повестке.

Что на самом деле означает «на стороне клиента»

Здесь важно быть точным, потому что маркетинговые формулировки у многих «приватных» инструментов довольно расплывчаты.

Инструмент действительно работает на стороне клиента, если после загрузки страницы ни одна часть содержимого файла никогда не отправляется на сервер. Сама страница загружается с сервера (HTML, JavaScript, возможно, модуль WebAssembly). После этого ваш файл попадает в память браузера и остаётся там, пока вы не закроете вкладку.

Инструмент не работает на стороне клиента, если он:

• POSTs файл на endpoint /api/...
• Отправляет миниатюру или предпросмотр на сервер
• Вызывает analytics endpoint с метаданными файла (размеры, имя, hash)
• Пропускает файл через сторонний CDN, который возвращает обработанный URL

Панель Network в devtools вашего браузера — лучший детектор правды. Откройте её, перетащите файл и посмотрите, что загружается наружу. Если вы видите, как наружу уходит имя файла или его размер, инструмент не так приватен, как заявляет.

Почему это важно на практике

Три группы людей незаметно выигрывают, когда обработка изображений переезжает в браузер.

Журналисты, активисты и исследователи работают с исходными материалами, утечка которых может быть опасной. EXIF-метаданные могут содержать GPS-координаты устройства, на которое был сделан снимок. Браузерный инструмент для удаления EXIF означает, что исходный файл никогда не уходит по сети.

Компании под регулированием — здравоохранение, финансы, юридические услуги — в противном случае нуждались бы в соглашении об обработке данных с тем, кто управляет инструментом. Статическая страница, выполняющая работу локально, не требует подписания DPA, потому что обработчика данных нет.

Все остальные получают очевидные преимущества: более быстрый результат (нет времени на upload), отсутствие лимитов на размер файла, продиктованных стоимостью хостинга, и отсутствие сбоев из-за недоступности сервера.

Где по-прежнему остаются компромиссы

Клиентская обработка — не магия. У неё есть реальные издержки, о которых стоит подумать, прежде чем выбирать её для конкретной задачи.

Холодный старт тяжелее

WebAssembly-бандл для декодирования HEIC занимает несколько сотен килобайт. ffmpeg, скомпилированный в WASM, — несколько мегабайт. Первый визит платит эту цену. Кэширование помогает, а code-splitting помогает ещё больше — загружайте только тот codec, который пользователь действительно выбрал.

Потолок задаёт оборудование пользователя

200-мегапиксельный RAW-файл исчерпает память на бюджетном телефоне задолго до того, как это случилось бы на сервере. Честно показывайте в интерфейсе, что реалистично для данного устройства.

Нельзя объединять обработку между пользователями

Серверная обработка может устранять дубли и амортизировать затраты. Если миллион пользователей конвертирует одно и то же стоковое изображение, сервер может обработать его один раз. На стороне клиента это произойдёт миллион раз. Для большинства персональных утилит это нормально — работа всё равно уникальна, — но об этом стоит знать.

Для некоторых операций нужен сервер

Reverse image search требует индекса. Content moderation требует модели, слишком большой для доставки в браузер. Всё, что сравнивает ваш файл с корпусом, которым вы не владеете, требует backend.

Небольшое этическое замечание

Если ваш инструмент действительно работает на стороне клиента, скажите об этом громко и докажите. Дайте ссылку на исходный код, укажите на панель Network, объясните, что где выполняется. Фразы вроде «мы не храним ваши данные» ничего не значат без архитектуры, которая это подтверждает, — каждый серверный инструмент, из которого когда-либо утекали данные клиентов, говорил ровно то же самое и в тот момент действительно имел это в виду.

Обратное тоже верно. Если ваш инструмент серверный, не притворяйтесь, что это не так. Пользователи уже научились распознавать этот паттерн, а удар по доверию, когда они вас поймают, будет постоянным.

<!-- tool-cta:start -->

💡 Попробуйте это: Посмотрите клиентскую обработку в действии с Image Compressor, который уменьшает изображения полностью в вашем браузере, так что ничто никогда не загружается на сервер.

<!-- tool-cta:end -->

Куда двигаться дальше

Если сегодня вы создаёте небольшую утилиту для изображений, по умолчанию выбирайте клиентскую обработку и обращайтесь к серверу только при наличии конкретной причины. Браузер удивит вас тем, насколько далеко он способен унести эту работу, — а люди на другом конце сетевого соединения тихо поблагодарят вас за байты, которые так и не покинули их машину.