이걸 왜 믿어야 하나요?

믿지 않으셔도 됩니다. 그래서 이 페이지가 있습니다. 여기 적힌 모든 주장은 이미 브라우저에 있는 도구로 1분 안에 직접 확인할 수 있는 것들입니다. 개인정보 처리방침의 약속은 아무 가치가 없습니다. Content-Security-Policy 헤더는 우리 코드가 무엇을 하려 하든 브라우저가 강제합니다.

브라우저 확장이 제 데이터를 읽는다면요?

페이지 내용을 읽을 권한이 있는 확장은 이 페이지를 포함해 어느 페이지의 무엇이든 읽을 수 있습니다. 어떤 웹사이트도 그것을 막을 수 없고, 막을 수 있다고 주장하는 사이트는 틀렸습니다. 우리가 할 수 있는 일은 페이지 자체에 여러분의 문서를 보낼 곳을 두지 않는 것이고, connect-src 허용 목록이 하는 일이 그것입니다.

저장되는 것이 있나요?

현재 초안과 도구 설정이 여러분 자신의 기기 localStorage에 보관되어, 새로고침에 작업이 사라지지 않게 합니다. 512KB가 넘는 초안은 아예 저장하지 않습니다. 사이트 데이터를 지우면 전부 사라지고, 전송되는 것은 결코 없습니다.

왜 "URL에서 불러오기" 기능이 없나요?

정직하게 만들 수 없기 때문입니다. 브라우저가 교차 출처 요청을 막으므로 그 기능을 제공하는 유일한 길은 요청을 서버로 보내는 것이고, 그러면 URL과 그 응답이 우리를 거쳐 갑니다. 이 기능을 제공하는 사이트는 모두 그 서버를 갖고 있습니다. 만들지 않기로 한 것이 바로 요점입니다.

애널리틱스는 무엇을 보나요?

Google Analytics 4는 여러분이 어느 페이지에 있는지, 어디서 왔는지, 언어, 화면 크기, IP 주소에서 추정한 대략적인 위치, 그리고 쿠키에 보관된 방문자 id를 기록합니다. 여러분이 붙여 넣은 것은 기록하지 않고, 기록할 수도 없습니다. 문서는 에디터와 그것을 서식하는 워커 안에만 있고, 애널리틱스 스크립트는 그 어느 쪽에도 닿을 수 없기 때문입니다. 이 도메인의 쿠키를 차단하거나 아무 콘텐츠 차단기나 쓰면 완전히 꺼지고, 모든 도구는 그대로 동작합니다.

우리를 믿지 마세요. 확인하세요.

모든 JSON 도구가 데이터는 안전하다고 말합니다. 2025년 11월, 그중 가장 큰 두 곳이 저장된 붙여넣기 8만 건 이상을 유출했습니다. 이 페이지는 우리 같은 주장이 의미가 있는지 여러분이 직접 가려내는 방법입니다.

30초 점검

브라우저 개발자 도구를 열고 네트워크 탭으로 가세요

윈도우와 리눅스는 F12, 맥은 Option-Command-I. 이동해도 사라지지 않도록 "로그 유지"를 체크하세요.
이 페이지를 새로고침한 다음 로그를 지우세요

페이지 자체, 스타일시트 하나, 폰트 파일 두 개, 그리고 도구 페이지라면 에디터와 워커 스크립트가 보일 것입니다. 전부 이 도메인에서 전송됩니다. Google Analytics 태그도 보일 것입니다. 이 사이트의 유일한 서드파티 요청이고, 한 번 더 들여다볼 값어치가 있는 유일한 요청입니다.
이제 도구로 가서 무언가를 붙여 넣으세요. 아무거나요. 10메가바이트라도

서식을 넣고, 변환하고, 망가뜨리고, 검증하면서 네트워크 탭을 보세요. 나타나는 요청은 애널리틱스 핑뿐이고, 그중 아무거나 열어 볼 수 있습니다. 페이지 URL, 화면 크기, 방문자 id를 실어 갑니다. 10메가바이트짜리 JSON은 거기에 들어가지 않고, 실제로 들어 있지도 않습니다. 그 밖에는 아무것도 전송되지 않습니다. 입력하는 동안에도, 클릭할 때도, 페이지를 떠날 때도요.

이것을 보장으로 만들어 주는 부분

네트워크 탭이 알려 주는 것은 이번에 무슨 일이 있었는가입니다. 아래 헤더가 알려 주는 것은 애초에 무엇이 가능한가입니다. 같은 네트워크 탭에서 이 사이트 아무 페이지의 응답 헤더를 보면 찾을 수 있습니다.

Content-Security-Policy

default-src 'self';
connect-src https://*.google-analytics.com https://*.analytics.google.com https://*.googletagmanager.com;
script-src 'self' https://www.googletagmanager.com;
style-src 'self' 'unsafe-inline';
img-src 'self' data: https://*.google-analytics.com https://*.googletagmanager.com;
font-src 'self';
form-action 'none';
frame-ancestors 'none';
base-uri 'self';
object-src 'none';
worker-src 'self' blob:

중요한 줄은 connect-src입니다. 이것은 허용 목록이고, 애널리틱스 엔드포인트 하나만 지정합니다. 이 페이지가 시도할 수 있는 그 밖의 모든 외부 요청은 거부됩니다. 여러분의 문서가 닿을 수 있는 곳으로 가는 fetch도, XMLHttpRequest도, WebSocket도, EventSource도, sendBeacon도 안 됩니다.

이것은 우리 의도에 대한 진술이 아닙니다. 이 페이지에서 도는 모든 코드에 브라우저가 부과하는 규칙이고, 내일 우리가 실수로 추가할 코드에도, 침해된 의존성에도, 그리고 애널리틱스 스크립트 자체에도 적용됩니다. 그 스크립트가 닿을 수 있는 곳은 Google뿐입니다. 이 사이트의 무언가가 여러분의 페이로드를 어디론가 보내려 한다면, 브라우저가 그것을 막고 여러분의 콘솔에 위반을 기록합니다.

직접 증명해 볼 수 있습니다. 여기 아무 페이지에서나 콘솔을 열고 fetch('https://example.com')을 실행해 보세요. 거부될 것이고, 브라우저가 그 이유를 알려 줍니다.

이 말을 하기 위해 포기한 것

이만큼 좁은 헤더에는 대가가 따르고, 그 대가를 분명히 말할 값어치가 있습니다. 대부분의 사이트가 이런 헤더를 보내지 않는 이유가 바로 그것이니까요. 예외는 정확히 하나이고, 아래 첫 항목이 그것입니다.

예외 하나: 애널리틱스: Google Analytics가 페이지 조회 수를 세며, 허용 목록이 허락하는 유일한 호스트입니다. 여러분이 어느 페이지에 있는지, 어디서 왔는지, 언어, 화면 크기, 그리고 방문자 id를 봅니다. 에디터는 보지 못합니다. 그것이 Google과 통신하게 해 주는 바로 그 헤더가, 그것을 포함해 여기 있는 무엇도 그 밖의 어디와도 통신하지 못하게 막습니다.
광고 없음: 광고 태그는 네트워크 요청을 하고 페이지를 읽는 서드파티 스크립트입니다. 이 페이지의 모든 내용과 양립하지 않고, 나중에 하나라도 넣으면 이 주장을 부분적으로가 아니라 영구히 잃게 됩니다.
파일 업로드 없음, URL에서 불러오기 없음: 파일은 브라우저의 FileReader로 읽고, 그것은 아무것도 보내지 않습니다. 원격 URL에서 문서를 불러오는 기능은 아예 제공하지 않습니다. 브라우저가 교차 출처 요청을 막기 때문에 그것을 되게 하는 유일한 길은 요청을 서버로 우회시키는 것이고, 그 서버야말로 우리가 반대하는 대상입니다.
계정 없음, 저장 링크 없음, 공유 서비스 없음: "이 스니펫 저장" 기능이란 남의 페이로드로 이뤄진 데이터베이스입니다. 2025년 11월에 붙여넣기 8만 건을 유출시킨 것이 정확히 그 기능이고, 노출된 데이터에는 Active Directory 자격 증명, 클라우드 액세스 키, 은행 기록이 들어 있었습니다.
CDN에서 오는 폰트·스타일 없음: 애널리틱스 태그를 뺀 모든 폰트, 스타일시트, 스크립트를 이 도메인에서 전송합니다. 제3자에게 보내는 폰트 요청도 여전히 제3자에게 보내는 요청이고, 여러분의 IP 주소와 지금 보고 있는 페이지를 함께 실어 갑니다.
콘솔에 아무것도 기록하지 않음: 입력도, 출력도, 오류 처리기 안에서 "도움이 되라고" 남기는 것도 없습니다. 로그 문이 사용자 콘텐츠 근처에 가면 빌드가 실패합니다.

이것이 막아 주지 못하는 것

한계에 대해 솔직한 것도 이 주장이 값어치를 갖는 일의 일부입니다.

페이지 내용을 읽을 권한이 있는 브라우저 확장은 다른 어떤 페이지와 마찬가지로 이 페이지를 읽을 수 있습니다. 어떤 웹사이트도 그것을 막을 수 없습니다.
여러분의 기기에 접근할 수 있는 사람은 화면에 있는 것과 localStorage 안의 것을 볼 수 있습니다.
호스팅 업체는 여러분의 브라우저가 페이지를 요청했다는 사실과 IP 주소를 볼 수 있습니다. 페이지를 제공한다는 것이 그런 일이니까요. 여러분이 붙여 넣은 것은 볼 수 없습니다. 그것은 전송되지 않습니다.
출력을 복사해 다른 곳에 붙여 넣는다면, 그것은 여러분과 그 붙여 넣은 곳 사이의 일입니다.

질문

이걸 왜 믿어야 하나요?: 믿지 않으셔도 됩니다. 그래서 이 페이지가 있습니다. 여기 적힌 모든 주장은 이미 브라우저에 있는 도구로 1분 안에 직접 확인할 수 있는 것들입니다. 개인정보 처리방침의 약속은 아무 가치가 없습니다. Content-Security-Policy 헤더는 우리 코드가 무엇을 하려 하든 브라우저가 강제합니다.
브라우저 확장이 제 데이터를 읽는다면요?: 페이지 내용을 읽을 권한이 있는 확장은 이 페이지를 포함해 어느 페이지의 무엇이든 읽을 수 있습니다. 어떤 웹사이트도 그것을 막을 수 없고, 막을 수 있다고 주장하는 사이트는 틀렸습니다. 우리가 할 수 있는 일은 페이지 자체에 여러분의 문서를 보낼 곳을 두지 않는 것이고, connect-src 허용 목록이 하는 일이 그것입니다.
저장되는 것이 있나요?: 현재 초안과 도구 설정이 여러분 자신의 기기 localStorage에 보관되어, 새로고침에 작업이 사라지지 않게 합니다. 512KB가 넘는 초안은 아예 저장하지 않습니다. 사이트 데이터를 지우면 전부 사라지고, 전송되는 것은 결코 없습니다.
왜 "URL에서 불러오기" 기능이 없나요?: 정직하게 만들 수 없기 때문입니다. 브라우저가 교차 출처 요청을 막으므로 그 기능을 제공하는 유일한 길은 요청을 서버로 보내는 것이고, 그러면 URL과 그 응답이 우리를 거쳐 갑니다. 이 기능을 제공하는 사이트는 모두 그 서버를 갖고 있습니다. 만들지 않기로 한 것이 바로 요점입니다.
애널리틱스는 무엇을 보나요?: Google Analytics 4는 여러분이 어느 페이지에 있는지, 어디서 왔는지, 언어, 화면 크기, IP 주소에서 추정한 대략적인 위치, 그리고 쿠키에 보관된 방문자 id를 기록합니다. 여러분이 붙여 넣은 것은 기록하지 않고, 기록할 수도 없습니다. 문서는 에디터와 그것을 서식하는 워커 안에만 있고, 애널리틱스 스크립트는 그 어느 쪽에도 닿을 수 없기 때문입니다. 이 도메인의 쿠키를 차단하거나 아무 콘텐츠 차단기나 쓰면 완전히 꺼지고, 모든 도구는 그대로 동작합니다.

가서 시험해 보세요

네트워크 탭을 먼저 연 다음, 업로드된다면 알아차릴 만큼 큰 것을 붙여 넣어 보세요.

정렬 도구 열기