Приватность

Всё считается в вашем браузере. Разбор токена, форматирование, сравнение, генерация выполняются кодом во вкладке. Содержимое полей на сервер не уходит. За этим следит браузер: страницы отдаются с заголовком Content-Security-Policy, в котором разрешён один адрес, mc.yandex.ru. Это счётчик посещений, про него отдельный раздел ниже. Любое другое соединение браузер запретит сам.

Как убедиться. Откройте DevTools, вкладка Network, введите данные и нажмите любую кнопку. Новых запросов к сайту не появится, а в служебных запросах счётчика к mc.yandex.ru нет текста из полей. Закройте вкладку, и данные исчезнут вместе с ней. Сайт их нигде не сохраняет.

Инструменты, которые принимают файл («Хеши», «Base64»), читают его в память вкладки и обрабатывают на месте. Файл никуда не загружается. Ограничение в 50 МБ относится к памяти вкладки. Сервера в этой цепочке нет.

Сайт запоминает только настройки, и только у вас: тему, размер текста, избранные и недавно открытые инструменты. Они лежат в localStorage под ключами с префиксом qa:, никуда не передаются и стираются вместе с данными сайта в настройках браузера. Содержимое полей туда не попадает.

После первого открытия сайт складывает свои файлы (страницы, стили, скрипты, шрифты) в офлайн-кеш браузера, поэтому работает без сети. В кеше только файлы сайта, ваших данных там нет.

Сам сайт cookie не ставит. В его коде нет ни одного обращения к document.cookie, а сервер не отдаёт заголовок Set-Cookie. Единственные cookie на странице ставит скрипт Яндекс.Метрики, их имена начинаются с _ym_. Заблокируете этот скрипт блокировщиком, и cookie не появятся. Проверить: DevTools, раздел Application, пункт Cookies. Инструмент «Cookie» на этом сайте разбирает чужие cookie, своих не создаёт.

На сайте подключена Яндекс.Метрика. Она считает обезличенную статистику: какие страницы открывают, откуда пришли, с какого устройства и браузера, сколько пробыли. Этого хватает, чтобы понять, какие инструменты нужны, а какие нет.

Содержимое полей в неё не попадает. Вебвизор, карта кликов и аналитика форм выключены: эти функции записывают действия и ввод целиком, а сюда приносят токены и ответы с персональными данными. Проверить можно в DevTools, вкладка Network: к mc.yandex.ru уходят только служебные запросы Метрики, текста из полей в них нет.

Метрика это сторонний сервис Яндекса, и cookie она ставит свои. Её можно заблокировать любым блокировщиком трекеров. Сайт от этого не сломается, все инструменты продолжат работать.

Шрифты, стили, скрипты и открытые библиотеки лежат на этом же сайте. С чужого сервера страница подгружает одну вещь: скрипт Яндекс.Метрики с mc.yandex.ru, про него раздел «Статистика посещений». Больше ничего. Заголовок Content-Security-Policy разрешает соединения только с этим адресом, любой другой запрос браузер заблокирует сам. Ссылки на внешние сайты в пояснениях помечены и открываются только по клику.

Если что-то из написанного не сходится с тем, что вы видите в DevTools, напишите в группу в Telegram: t.me/qatoolqa.