Prečo je spracovanie obrázkov v prehliadači výhrou pre súkromie

Predvolený predpoklad je nesprávny

Počas väčšiny posledných dvadsiatich rokov znamenalo urobiť s obrázkom na webe čokoľvek netriviálne jeho odoslanie na server. Konvertovať fotku HEIC, odstrániť jej EXIF metadáta, vygenerovať favicon — každý z týchto nástrojov historicky žil za multipart formulárom. Používateľ klikol na upload, súbor putoval cez verejný internet a server niekde vykonal prácu.

Tento predvolený stav už technicky nie je nevyhnutný. Prehliadače už pred rokmi priniesli API, vďaka ktorým môže celý proces bežať lokálne:

• <canvas> a OffscreenCanvas na prácu na úrovni pixelov
• createImageBitmap() na rýchle dekódovanie mimo hlavného vlákna
• File a Blob na čítanie nahraných súborov bez toho, aby sa kamkoľvek odosielali
• WebAssembly pre knižnice ako libheif, libwebp a ffmpeg
• Web Workers na udržanie responzívneho UI počas náročnej práce

Ak ich spojíte dokopy, súbor nikdy neopustí zariadenie. Server ho nikdy neuvidí. Nie je čo logovať, nie je čo uniknúť, nie je čo vyžiadať súdnym príkazom.

Čo „na strane klienta“ v skutočnosti znamená

Oplatí sa byť presný, pretože marketingové texty mnohých „súkromných“ nástrojov bývajú voľné.

Nástroj je skutočne na strane klienta vtedy, keď po načítaní stránky žiadna časť obsahu súboru nikdy neputuje na server. Samotná stránka sa načíta zo servera (HTML, JavaScript, prípadne modul WebAssembly). Potom váš súbor vstúpi do pamäte prehliadača a zostane tam, kým nezavriete kartu.

Nástroj nie je na strane klienta, ak:

• odosiela súbor metódou POST na endpoint /api/...
• posiela miniatúru alebo náhľad na server
• volá analytický endpoint s metadátami súboru (rozmery, názov, hash)
• smeruje súbor cez CDN tretej strany, ktorá vráti spracovanú URL

Panel siete v devtools vášho prehliadača je ukazovateľ pravdy. Otvorte ho, vložte súbor a skontrolujte, čo sa nahráva. Ak vidíte, že odchádza názov alebo veľkosť vášho súboru, nástroj nie je taký súkromný, ako tvrdí.

Prečo na tom v praxi záleží

Keď sa spracovanie obrázkov presunie do prehliadača, potichu z toho profitujú tri skupiny ľudí.

Novinári, aktivisti a výskumníci pracujú so zdrojovým materiálom, ktorého únik by mohol byť nebezpečný. EXIF metadáta môžu obsahovať GPS súradnice zo zariadenia, ktorým bola fotka vytvorená. Odstraňovač EXIF na strane prehliadača znamená, že pôvodný súbor nikdy neprejde cez sieť.

Firmy pod reguláciou — zdravotníctvo, financie, právo — by inak potrebovali zmluvu o spracúvaní údajov s tým, kto nástroj prevádzkuje. Statická stránka, ktorá vykonáva prácu lokálne, nepotrebuje podpísať žiadnu DPA, pretože neexistuje žiadny sprostredkovateľ.

Všetci ostatní získajú zjavné výhody: rýchlejšie výsledky (bez času nahrávania), žiadne limity veľkosti súboru dané účtom za hosting, žiadne zlyhanie, keď je server nedostupný.

Kde stále existujú kompromisy

Spracovanie na strane klienta nie je mágia. Má reálne náklady, ktoré by ste si mali premyslieť, kým ho zvolíte pre konkrétny problém.

Studený štart je ťažší

Balík WebAssembly na dekódovanie HEIC má niekoľko stoviek kilobajtov. ffmpeg skompilovaný do WASM má niekoľko megabajtov. Prvá návšteva zaplatí túto cenu. Cache pomáha a code-splitting pomáha ešte viac — načítajte iba kodek, ktorý si používateľ skutočne vybral.

Strop určuje hardvér používateľa

200-megapixelový RAW súbor vyčerpá pamäť na lacnom telefóne dávno predtým, než by ju vyčerpal na serveri. V UI buďte úprimní v tom, čo je na danom zariadení realistické.

Nemôžete dávkovať naprieč používateľmi

Spracovanie na serveri vie deduplikovať a rozkladať náklady. Ak milión používateľov konvertuje ten istý stock obrázok, server ho môže spracovať raz. Na strane klienta sa to urobí miliónkrát. Pri väčšine osobných nástrojov je to v poriadku — práca je aj tak jedinečná — ale stojí za to o tom vedieť.

Niektoré operácie potrebujú server

Reverzné vyhľadávanie obrázkov potrebuje index. Moderovanie obsahu potrebuje model, ktorý je príliš veľký na doručenie používateľovi. Čokoľvek, čo porovnáva váš súbor s korpusom, ktorý nevlastníte, potrebuje backend.

Malá etická poznámka

Ak je váš nástroj skutočne na strane klienta, povedzte to nahlas a dokážte to. Odkážte na zdrojový kód, ukážte na panel siete, vysvetlite, čo beží kde. Frázy ako „neukladáme vaše dáta“ neznamenajú nič bez architektúry, ktorá ich podporuje — každý serverový nástroj, z ktorého niekedy unikli zákaznícke dáta, tvrdil presne to isté a vtedy to myslel vážne.

Platí aj opak. Ak váš nástroj je na strane servera, netvárte sa inak. Používatelia sa tento vzorec naučili rozpoznávať a strata dôvery, keď vás pri tom prichytia, je trvalá.

<!-- tool-cta:start -->

💡 Vyskúšajte toto: Pozrite si spracovanie na strane klienta v praxi s Image Compressor, ktorý zmenšuje obrázky úplne vo vašom prehliadači, takže sa nikdy nič neodošle na server.

<!-- tool-cta:end -->

Kam ďalej

Ak dnes budujete malý nástroj na obrázky, predvoľte si spracovanie na strane klienta a po serveri siahnite iba vtedy, keď máte konkrétny dôvod. Prehliadač vás prekvapí, ako ďaleko dokáže prácu potiahnuť — a ľudia na druhej strane sieťového spojenia vám potichu poďakujú za bajty, ktoré nikdy neopustili ich zariadenie.