Résumé
FromHEIC traite vos fichiers dans votre navigateur, dans un Web Worker, sans composant côté serveur. Cela réduit certains risques sans les supprimer tous. Rien n’est « sûr à 100 % », et nous ne le prétendons pas.
Ce qu’apporte le navigateur
- Le bac à sable. Les pages web s’exécutent dans un environnement restreint. Une page ne peut pas lire librement votre disque. Elle n’obtient que les fichiers que vous choisissez.
- Aucun chemin d’envoi, par conception. Les outils n’ont aucun composant serveur ; il n’existe donc aucun endroit de notre côté où votre fichier arriverait.
- Content-Security-Policy (CSP). Le site envoie une CSP qui limite les connexions réseau à sa propre origine et à Google Analytics, qui ne se charge que si vous l’acceptez. Si un script de la page tentait d’envoyer votre photo vers n’importe quel autre domaine, le navigateur bloquerait cette connexion.
- Codecs de même origine. Les décodeurs et encodeurs sont des fichiers WebAssembly servis depuis ce domaine, chargés uniquement en cas de besoin.
- Web Worker. Le décodage lourd s’exécute dans un worker, séparé de l’interface de la page.
Le risque qui demeure : les codecs
Les analyseurs d’images ont connu de véritables vulnérabilités. Par exemple, CVE-2023-41064 est une fiche CVE publiée pour un logiciel de traitement d’images. La page de la fiche nécessite JavaScript : lisez-la sur place pour connaître le produit concerné et les détails. Nous la citons pour montrer que l’analyse d’images non fiables est une source connue de bugs, pas pour dire quoi que ce soit de FromHEIC en particulier.
FromHEIC utilise des bibliothèques open source (libheif, libde265, libwebp, libavif/aom). Un fichier malveillant ou endommagé pourrait déclencher un bug dans ces bibliothèques. Le bac à sable WebAssembly et les protections propres au navigateur sont censés contenir un tel bug dans l’onglet, mais un bug du navigateur pourrait malgré tout avoir de l’importance. Gardez votre navigateur à jour.
Limites pratiques
- Les limites de 200 Mo par fichier, 100 mégapixels par image et 200 fichiers par lot réduisent le risque d’une consommation de mémoire incontrôlée, sans l’éliminer.
- Les types de fichiers sont identifiés à partir du contenu, et les sorties sont ré-analysées avant le téléchargement. Cela vérifie la structure, pas l’intention.
- La suppression des métadonnées couvre les champs EXIF, XMP et GPS standard que l’outil lit. Elle ne garantit pas qu’une photo soit anonyme. L’image elle-même peut révéler des choses.
- Un lien de carte dans le visionneur de métadonnées n’ouvre un site externe (OpenStreetMap) qu’après un clic sur un bouton.
- Le site ne peut pas protéger un appareil déjà compromis, ni les fichiers que vous transmettez ensuite.
Habitudes que nous recommandons
- Gardez votre navigateur et votre système d’exploitation à jour.
- Méfiez-vous des fichiers d’expéditeurs inconnus. Voir le guide sur la sécurité des fichiers image.
- Utilisez le vérificateur de fichiers et le contrôle d’intégrité pour inspecter les fichiers étranges avant de convertir.
- Conservez vos originaux.
- Supprimez les données de localisation avant de publier des photos.
Signaler une vulnérabilité
Écrivez à contact@gohammer.mobi en indiquant la page, votre navigateur et les étapes pour reproduire le problème. Évitez de publier des détails avant que le propriétaire ait pu répondre. L’exploitant est Hammer Desenvolvimento de Software.