Audit
Comment fonctionne Slopographic
Les applications tournent dans votre navigateur. Cette page liste les fonctions du navigateur qu’elles utilisent, chaque requête réseau qu’elles peuvent faire, et ce qui est gardé sur votre appareil, afin que vous puissiez vérifier chaque affirmation vous-même. Chaque énoncé de cette page a été contrôlé dans le code source du dépôt public.
La version courte
- Vos fichiers restent sur votre appareil. Les applications n’ont pas de serveur qui les reçoive, et aucun code n’envoie un fichier que vous ouvrez ou enregistrez. Seule exception : une copie que vous autorisez le bouton IA à envoyer à un service d’IA que vous avez connecté vous-même.
- Les fichiers que vous choisissez sur le disque sont lus et écrits par l’API d’accès aux fichiers du navigateur, dans les dossiers que vous sélectionnez. Voir les API du navigateur.
- Les données sont gardées dans le stockage propre au navigateur, sur cet appareil (IndexedDB et localStorage). Voir ce qui est stocké.
- Certaines requêtes quittent le site, mais seulement dans les cas listés dans chaque requête sortante : un téléchargement que vous confirmez, une sauvegarde dans le nuage que vous connectez, un service d’IA que vous connectez avec votre propre clé, les taux de change que vous activez, ou les statistiques ou publicités que vous acceptez.
- Le bouton IA fonctionne avec un modèle sur votre appareil, un serveur sur votre propre ordinateur comme Ollama ou LM Studio, ou votre propre clé pour un service comme Claude, ChatGPT ou Gemini. Avec une clé, ce que vous demandez va directement de votre navigateur à ce fournisseur. Voir le bouton IA.
- La page d’accueil charge le code de Google Analytics à chaque visite, avec les statistiques réglées sur refusées. Les autres pages ne le chargent qu’après que vous avez accepté les statistiques. Les publicités ne se chargent qu’après que vous les avez acceptées.
En termes simples
Où vont mes fichiers ?
Nulle part. Quand vous ouvrez une photo, un PDF ou un tableur, l’application le lit dans cet onglet du navigateur. Il n’y a pas d’étape d’envoi, ni de serveur Slopographic qui pourrait le recevoir. Ce que vous enregistrez va sur votre propre disque, ou dans le stockage de ce navigateur, sur cet appareil. Une copie n’est envoyée à un service d’IA que si vous connectez ce service avec votre propre clé, et si vous l’autorisez (voir le bouton IA).
Pourquoi une application télécharge-t-elle parfois quelque chose ?
Certaines fonctions ont besoin d’un gros fichier que la plupart des gens n’utilisent jamais : un modèle d’IA (pour supprimer un arrière-plan, lire du texte ou transcrire la parole), le moteur vidéo (pour convertir une vidéo), ou une police pour un autre système d’écriture. Ces fichiers ne sont récupérés que lorsque vous utilisez la fonction, après que l’application vous a dit ce que c’est et quelle en est la taille, et ils sont gardés dans le navigateur, si bien que cela n’arrive qu’une fois. Vos propres fichiers ne font jamais partie de cette requête.
Fonctionne-t-il hors ligne ?
Oui, après la première visite. Les fichiers propres au site sont gardés par le navigateur, si bien que les applications s’ouvrent et fonctionnent sans connexion. Seul un téléchargement que vous n’avez pas encore fait (un modèle ou une police) a besoin du réseau.
Faut-il installer quelque chose ?
Non. Ouvrez simplement une application dans le navigateur de votre téléphone, de votre tablette ou de votre ordinateur, et commencez. Elle continue de fonctionner sans internet après votre première visite. Vous voulez une icône sur votre écran d’accueil ? Sur iPhone ou iPad, touchez Partager, puis Sur l’écran d’accueil. Sur Android, ouvrez le menu du navigateur et touchez Ajouter à l’écran d’accueil. Sur un ordinateur, cliquez sur l’icône d’installation dans la barre d’adresse. Vous n’avez besoin ni de l’App Store ni de Google Play, et vos fichiers restent sur votre appareil.
Qu’envoie le bouton IA, et où ?
Cela dépend du modèle que vous choisissez. Un modèle sur votre appareil (il demande WebGPU et se télécharge une fois) répond dans cet onglet, et rien de ce que vous demandez ne quitte l’appareil. Ollama, LM Studio et les serveurs semblables tournent sur votre propre ordinateur, ou sur un ordinateur de votre réseau que vous avez configuré. Avec votre propre clé pour un service comme Claude, ChatGPT, Gemini, OpenRouter ou Groq, vos messages vont directement de votre navigateur à ce fournisseur, sans serveur Slopographic entre les deux, et ses conditions et ses tarifs s’appliquent. Une copie d’un fichier ou une image de votre travail n’est envoyée qu’après que le panneau le demande et que vous l’autorisez (vous pouvez l’autoriser pour une requête, pour une visite, ou toujours, et retirer cette autorisation dans Autorisations IA). Les images créées ou modifiées par l’IA (Générer une image, Modifier avec l’IA) ont besoin d’un service d’images que vous connectez, comme OpenAI, Gemini ou OpenRouter avec votre propre clé : rien dans le navigateur ne les dessine. Les modèles sur votre appareil et sur votre propre ordinateur ne coûtent rien ; Gemini, Groq et Mistral ont des offres gratuites, et OpenRouter propose des modèles gratuits (le panneau les marque Gratuit). Une clé est gardée dans cet onglet jusqu’à sa fermeture, ou dans ce navigateur seulement si vous cochez Mémoriser sur cet appareil. Pour OpenRouter, vous pouvez aussi appuyer sur Se connecter avec OpenRouter au lieu de coller une clé : votre navigateur va sur openrouter.ai, vous y autorisez l’accès, et au retour, cette page demande à OpenRouter lui-même une clé pour ce navigateur. La connexion passe directement entre votre navigateur et OpenRouter, et rien ne transite par les serveurs de Slopographic. La clé est payée avec vos propres crédits OpenRouter et est gardée exactement comme une clé collée ; vous pouvez la plafonner ou la révoquer sur openrouter.ai/settings/keys, et Oublier la clé la retire de ce navigateur.
Un agent d’IA peut-il utiliser les applications ?
Dans un navigateur qui prend en charge WebMCP, oui : un assistant du navigateur, ou un agent sur votre ordinateur connecté par une extension du navigateur, peut lancer les commandes d’une application, les conversions et les flux de travail de File convert, et ouvrir, enregistrer ou télécharger des fichiers. Il désigne vos fichiers par des identifiants ; le travail se fait dans cet onglet et les applications n’envoient rien, même si l’agent voit ce que les outils renvoient. Toute action qui supprime ou remplace votre travail vous demande d’abord votre accord. WebMCP est un brouillon précoce : Chrome l’a en essai (versions 149 à 156) et derrière un indicateur, Edge derrière un indicateur, et Firefox et Safari pas encore. Désactivez-le dans Paramètres, ou dans Aide, Agents IA.
Puis-je le vérifier moi-même ?
Oui. Le code source est public, et les sections ci-dessous listent chaque fonction du navigateur que les applications utilisent et chaque requête qu’elles peuvent faire, avec le fichier qui la fait. Vous pouvez aussi ouvrir les outils de développement de votre navigateur, aller dans l’onglet Réseau et observer : ouvrir et enregistrer vos fichiers n’envoie rien.
Utiliser Slopographic depuis Claude Code et d’autres applications d’IA
Bientôt disponible : une application d’IA sur votre ordinateur, comme Claude Code, Codex, Cursor, VS Code ou Claude Desktop, peut utiliser l’application Slopographic ouverte dans votre navigateur : ses vraies commandes, conversions et flux de travail, vos fichiers entrant et les résultats sortant sous forme de fichiers sur votre ordinateur. Cela passe par le serveur MCP de Slopographic, un petit programme que l’application d’IA lance sur votre ordinateur. Aucun compte ni aucune installation n’est nécessaire, en dehors de l’application d’IA elle-même.
- Claude Code : tapez
/plugin marketplace add slopographic/claude-plugin, puis/plugin install slopographic@slopographic. Une seule fois suffit. - Tapez
/slopographic:slop-connect(ajoutez un nom d’application, commephotoslop, si vous voulez). Claude Code ouvre Slopographic dans votre navigateur et affiche un court code. - Chrome demande une fois si ce site peut utiliser les applications et services de cet appareil. Choisissez Autoriser : c’est ainsi que la page atteint Claude Code sur votre ordinateur. La page ne parle qu’à votre propre ordinateur (127.0.0.1), et non à votre réseau.
- Tapez le code dans la page. La page affiche alors « Claude Code est connecté · Déconnecter » dans le coin. Appuyez sur Déconnecter, ou fermez l’onglet, pour mettre fin à la connexion.
Chaque onglet est appairé séparément, et le code ne fonctionne qu’une fois. Rien d’autre sur votre ordinateur ne peut utiliser la page sans lui. Les actions qui suppriment ou remplacent votre travail vous demandent toujours confirmation dans la page, comme dans le panneau IA. Toute page Slopographic peut se connecter depuis la palette de commandes : Ctrl+K (⌘K sur un Mac), puis « Connecter une application d’IA… ».
La configuration pour d’autres applications d’IA (Codex, Gemini CLI, Cursor, VS Code, Windsurf, Claude Desktop) apparaîtra ici lorsque les scripts seront prêts.
Les conversations ChatGPT ne peuvent atteindre que des serveurs sur internet ; elles ne peuvent donc pas encore utiliser ce serveur local. Codex dans l’application de bureau ChatGPT, lui, le peut.
API du navigateur, et la spécification de chacune
Les chemins de fichiers sont les principaux endroits où chaque API est utilisée. Recherchez le nom de l’API dans le dépôt pour trouver les autres.
| API du navigateur | À quoi elle sert | Où dans le code | Spécification |
|---|---|---|---|
Accès aux fichiers : window.showDirectoryPicker, FileSystemDirectoryHandle, createWritable | Disques locaux dans Slop Drive, dossier de sauvegarde pour la synchronisation dans le nuage, import du dossier Galerie (lecture seule), et chargement d’un dossier de modèle d’IA depuis le disque. Chrome et Edge uniquement. Une écriture ne remplace un fichier qu’à la fermeture de celui-ci. | drive/js/core/prov-dir.js, drive/js/ui/prov-drives.js, shared/sync/providers/local.js, gallery/js/io/source.js, shared/ai/webllm.js | wicg.github.io/file-system-access · MDN |
| IndexedDB | Fichiers de Slop Drive, poignées de dossiers, données d’entreprise, stockage des polices et des modèles d’IA, jetons de connexion chiffrés. Liste complète dans Ce qui est stocké. | shared/hub.js, drive/js/core/drives-store.js, shared/data/store.js, shared/sync/tokens.js, shared/library/store.js | w3.org/TR/IndexedDB · MDN |
| localStorage | Petits réglages : votre choix de consentement, réglages de la synchronisation dans le nuage, réglages par application, préférences d’affichage de Drive. | shared/consent/state.js, shared/sync/config.js, shared/profile/profile.js, drive/js/core/util.js | WHATWG HTML, Web Storage · MDN |
| sessionStorage | État de connexion gardé seulement pendant une redirection de connexion au nuage. Effacé à la fermeture de l’onglet. | shared/sync/sync.js | WHATWG HTML, Web Storage |
| Système de fichiers privé d’origine | Non utilisé. Le code n’appelle pas navigator.storage.getDirectory. | aucune | WHATWG File System |
| Service Workers | Utilisation hors ligne. Enregistré par chaque page d’application après son chargement. Ne répond qu’aux requêtes GET de la même origine. | service-worker.js, shared/pwa.js | w3.org/TR/service-workers · MDN |
| Cache Storage | Copies gardées des fichiers propres au site, des fichiers des modèles de détourage, et des fichiers des modèles du chat IA après leur téléchargement. | service-worker.js, shared/cutout/loader.js, shared/ai/webllm.js | W3C Service Workers, Cache objects · MDN |
| Manifeste d’application web | Permet à un navigateur d’installer le site comme une application. Déclare le nom, les icônes et la page de départ. | manifest.webmanifest | w3.org/TR/appmanifest · MDN |
Gestionnaire de stockage : navigator.storage.persist(), estimate() | Demande au navigateur de conserver le stockage de ce site après l’installation ou en mode autonome. Le stockage de Slop vous demande votre accord avant de le demander au navigateur. Indique le taux de remplissage du stockage. | shared/pwa.js, shared/storage/storage.js | WHATWG Storage · MDN |
| Web Workers | Exécution des travaux lourds hors de la page : détourage d’image, agrandissement, inférence des Outils IA, construction de PDF. | shared/cutout/cutout.js, upscale/js/engine/engine.js, aitools/common.js, pdf/js/io/build.js | WHATWG HTML, Workers · MDN |
| WebAssembly | Exécute le ONNX Runtime Web fourni pour les Outils IA, l’agrandissement, Image en 3D, la détection de visages et le détourage, avec un seul fil. La bibliothèque WebLLM du chat IA est aussi basée sur WebAssembly. | aitools/workers/ort.js, upscale/js/engine/worker.js, img3d/js/model/depth.js, shared/faces/index.js, shared/ai/webllm.js | WebAssembly Core spec · MDN |
| WebGPU | Le chat IA vérifie ce que votre ordinateur peut exécuter, et le worker de détourage demande un adaptateur GPU. Fait tourner le modèle de chat sur le GPU, dans Slop AI et dans le panneau IA de chaque application. | shared/ai/sysinfo.js, shared/cutout/worker.js, shared/ai/webllm.js | w3.org/TR/webgpu · MDN |
| WebGL 2 | Aperçu 3D et étalonnage des couleurs dans SlopCut. | 3d/js/render/stage.js, drive/js/core/render3d.js, slopcut/js/render/grade.js | Khronos WebGL 2.0 spec · MDN |
| Canvas 2D et OffscreenCanvas | Dessin, retouche d’images et export dans presque toutes les applications. | Environ 130 fichiers appellent getContext('2d'), par exemple photoslop/js/io/save.js | WHATWG HTML, Canvas · MDN |
| File et Blob, glisser-déposer | Ouverture des fichiers que vous choisissez ou déposez sur une page. Les fichiers ne quittent jamais la page, sauf si vous les enregistrez ou les partagez. | shared/drop/, shared/preview/chrome.js | W3C File API · MDN |
Web Crypto : crypto.subtle | Contrôles SHA-256 de chaque fichier téléchargé avant son stockage, et AES-GCM pour les jetons de connexion chiffrés. | shared/cutout/loader.js, shared/library/store.js, shared/sync/tokens.js | w3.org/TR/WebCryptoAPI · MDN |
| Notifications | Notifications du navigateur pour les rappels, seulement après que vous avez appuyé sur le bouton pour les autoriser. | reminders/js/app.js, shared/reminders/engine.js | WHATWG Notifications · MDN |
| BroadcastChannel | Messages entre les onglets ouverts de ce site (canal slopographic). Reste à l’intérieur du navigateur. | shared/hub.js | WHATWG HTML, Broadcasting · MDN |
Web Share : navigator.share() | La feuille de partage du système, seulement quand vous appuyez sur Partager. Le système envoie ensuite le fichier à l’application que vous choisissez. | shared/preview/chrome.js, ai/js/ui/speccard.js | w3.org/TR/web-share · MDN |
WebMCP : document.modelContext.registerTool() | Propose à un agent d’IA du navigateur les actions de l’application comme outils (ses commandes, les opérations sur les fichiers, les fichiers par identifiant), seulement là où le navigateur a l’API et où le réglage « Autoriser les agents IA à utiliser cette application » est activé. Les outils tournent dans la page. Le jeton d’essai d’origine est dans l’en-tête de chaque page. | shared/agent/webmcp.js, shared/agent/workspace.js, shared/agent/boot.js | W3C Web Machine Learning CG draft · Chrome |
| WebSocket | La liaison avec une application d’IA sur votre ordinateur (le serveur MCP de Slopographic), seulement après que vous choisissez « Connecter une application d’IA… ». Elle se connecte à ws://127.0.0.1, cet ordinateur seulement. | shared/agent/bridge.js | WHATWG WebSockets |
| Fetch | Chaque requête réseau des applications. La liste complète est dans Requêtes sortantes. | Environ 35 sites d’appel fetch( dans une trentaine de fichiers (quelques-uns sont des commentaires) | WHATWG Fetch · MDN |
Ce qui est stocké sur cet appareil
Tout ce qui suit est gardé dans ce navigateur, sur cet appareil. Rien ici n’est envoyé à un serveur. Chaque site a son propre stockage : la même application dans un autre navigateur a sa propre copie.
| Nom | Type | Ce qu’il contient | Défini dans |
|---|---|---|---|
slop-drive | IndexedDB | Fichiers et dossiers de Slop Drive, y compris le contenu des fichiers. | shared/hub.js |
slop-drive-folders | IndexedDB | Les disques locaux nommés : la poignée et le nom de chaque dossier. Retirer un disque oublie seulement la poignée. | drive/js/core/drives-store.js |
slop-sync, slop-sync-local | IndexedDB | Jetons de connexion chiffrés au nuage (AES-GCM sous une clé non exportable). La poignée du dossier de sauvegarde choisi. | shared/sync/tokens.js, shared/sync/providers/local.js |
slop-data | IndexedDB | Données d’entreprise : clients, produits, stock, factures, paiements et écritures du grand livre (shared/data/schema.js). | shared/data/store.js |
slop-library | IndexedDB | Polices installées depuis Obtenir d’autres et fichiers de polices que vous ajoutez. | shared/library/store.js |
slop-aitools, slop-ai | IndexedDB | Modèles d’Outils IA que vous avez installés, et conversations de l’application de chat IA. | aitools/models.js, ai/js/core/store.js |
slop-session | IndexedDB | La vue ouverte de chaque application et les brouillons non enregistrés, pour qu’une visite de retour reprenne là où vous vous étiez arrêté. | shared/session/session.js |
slop-consent | localStorage | Vos choix pour les statistiques, les publicités et les taux. Désactivés tant que vous ne choisissez pas. | shared/consent/state.js |
slop-sync | localStorage | Réglages de la synchronisation dans le nuage : vos identifiants de client OAuth et les dates de dernière synchronisation. Les jetons ne sont pas gardés ici. | shared/sync/config.js |
slop-ai-keys | IndexedDB | Vos clés d’IA, seulement quand vous cochez Mémoriser sur cet appareil. Sans cela, une clé reste dans cet onglet (sessionStorage) et disparaît à sa fermeture. Exclue des sauvegardes. | shared/ai/cloud/keys.js |
slop-ai.cloud, slop-ai.imagegen, slop-ai.permissions | localStorage | Le service d’IA et le modèle que vous avez choisis, votre plafond de dépenses, les réglages d’images et les autorisations IA que vous avez données. Jamais une clé. | shared/ai/cloud/keys.js, shared/ai/imagegen/core.js, shared/ai/permissions.js |
slop-ai.signin | sessionStorage | Pendant que vous vous connectez avec OpenRouter : le vérificateur PKCE à usage unique et l’état qui prouvent que la connexion a commencé dans cet onglet. Utilisés une fois, effacés à la fermeture de l’onglet, jamais une clé. | shared/ai/cloud/signin.js |
slop.agents | localStorage | « off » quand vous avez désactivé « Autoriser les agents IA à utiliser cette application ». Rien n’est stocké tant que ce réglage est actif. | shared/agent/boot.js |
slop.bridge | sessionStorage | Pendant que cet onglet est appairé avec une application d’IA sur votre ordinateur : le port et le jeton d’appairage, pour qu’un rechargement reste connecté. Effacés quand vous vous déconnectez ou fermez l’onglet. | shared/agent/bridge.js |
slop-profile | localStorage | Réglages par application que vous avez modifiés par rapport au réglage par défaut. | shared/profile/profile.js |
slop-drive.prefs, slop-drive.theme | localStorage | Préférences d’affichage et thème de Slop Drive. | drive/js/core/util.js |
slopographic-v38 | Cache Storage | Copies gardées des fichiers propres au site, pour que le site fonctionne hors ligne. | service-worker.js |
slop-cutout-v1 | Cache Storage | Fichiers de modèles pour le détourage, après contrôle de leur SHA-256. | shared/cutout/loader.js |
Cookies : le code du site n’écrit jamais de cookie (le dépôt n’a aucun appel à document.cookie). Votre choix de consentement est dans localStorage, et non dans un cookie. Les scripts de statistiques et de publicités de Google peuvent poser leurs propres cookies quand ils tournent. La section Cookies et statistiques indique quand ils tournent.
Requêtes sortantes : chaque endroit où une requête peut aller
La liste ci-dessous est complète pour le dépôt : elle vient d’une recherche de chaque fetch(, XMLHttpRequest, adresse de script et d’image, et de chaque URL externe du code. Hormis les scripts de statistiques et de publicités, qui ne se chargent que comme indiqué ci-dessous, les applications ne chargent aucun script, police ni feuille de style tiers. Il n’y a ni polices tierces ni iframes tierces.
| Destination | Quelle application ou partie | Pourquoi | Quand elle a lieu |
|---|---|---|---|
www.googletagmanager.com (Google Analytics, identifiant G-HW6FWQVFK3) | Page d’accueil (index.html) ; autres pages par shared/consent/consent-mode.js | Mesure des pages vues | Page d’accueil : à chaque visite, avec les statistiques réglées sur refusées jusqu’à ce que vous acceptiez. Autres pages : seulement après que vous avez accepté les statistiques. |
pagead2.googlesyndication.com (AdSense) | Pages avec emplacements publicitaires (shared/ads/ads.js) | Publicités | Seulement après que vous avez accepté les publicités. Chargé par le seul chargeur de shared/consent/consent-mode.js. |
huggingface.co, et ses hôtes de stockage hf.co et xethub.hf.co | Chat IA (shared/ai/webllm.js, ai/js/core/engine.js) ; Outils IA et applications OCR (aitools/model-registry.js, aitools/models.js) | Fichiers de modèles : OCR (PP-OCRv4), étiquettes et modèles de chat | Après que vous avez appuyé sur Télécharger, ou installé un modèle dans Obtenir d’autres, et confirmé sa taille et sa licence. Outils IA contrôle le SHA-256 de chaque fichier, et un fichier doit provenir d’un hôte Hugging Face ou du dépôt slopographic/cdn. |
cdn.jsdelivr.net (jsDelivr, seulement /gh/slopographic/cdn@ une version fixe) | Chaque fichier du dépôt slopographic/cdn (shared/cdn/assets.js) : paquets d’Obtenir d’autres, modèles de parole et d’OCR, moteurs HEIC, RAW d’appareil photo, 3D et vidéo | Une copie plus rapide et en cache du dépôt ci-dessous ; les fichiers de plus de 20 Mo viennent de raw.githubusercontent.com | Les mêmes moments que la ligne ci-dessous. Si jsDelivr ne répond pas ou envoie des octets erronés, le même fichier est récupéré sur raw.githubusercontent.com et contrôlé de la même façon. |
raw.githubusercontent.com | Chat IA (shared/ai/webllm.js, les noyaux GPU) ; paquets d’Obtenir d’autres (shared/library/packs.json) | Noyaux pour le modèle de chat ; fichiers de polices depuis github.com/google/fonts (OFL) ; polices de langue (Noto, OFL) pour écrire dans d’autres systèmes d’écriture comme l’arabe, le chinois ou l’hindi ; le modèle Real-ESRGAN 4x pour Slop Upscale, le modèle de profondeur pour Image en 3D, et les modèles de parole pour Slop Transcribe et Outils IA (Whisper, KB-Whisper, NB-Whisper ; aitools/speech-models.js), depuis le dépôt slopographic/cdn | Quand vous appuyez sur Télécharger dans Obtenir d’autres ou dans la boîte de dialogue Langue et modèle, et confirmez, ou quand vous chargez un modèle de chat. Une police de langue se télécharge aussi lorsque vous écrivez dans un système d’écriture qui en a besoin (dans Slop PDF, par exemple) : l’application demande d’abord, sauf si vous avez choisi de télécharger automatiquement les polices de langue (shared/fonts/jit.js). Chaque fichier est contrôlé par son SHA-256 avant d’être gardé. |
accounts.google.com, oauth2.googleapis.com, www.googleapis.com | Synchronisation dans votre propre Google Drive (shared/sync/providers/gdrive.js, pkce.js, config.js) | Connexion, puis sauvegarde et restauration d’un fichier de sauvegarde, dans un dossier facultatif. Utilise la portée drive.file, qui n’atteint que les fichiers que cette application crée ou que vous choisissez. | Seulement quand vous vous connectez avec votre propre identifiant de client OAuth, et quand vous appuyez sur un bouton de sauvegarde ou de synchronisation. |
www.dropbox.com, api.dropboxapi.com, content.dropboxapi.com | Synchronisation dans Dropbox (shared/sync/providers/dropbox.js) | Même chose que Google Drive, pour Dropbox | Seulement quand vous vous connectez et appuyez sur un bouton de sauvegarde ou de synchronisation. |
data-api.ecb.europa.eu | Taux de change (shared/data/rates-ecb.js, ouvert depuis Paramètres, et lu par Ledger et Calculatrice) | Taux de référence quotidiens de l’euro publiés par la Banque centrale européenne | Seulement quand la catégorie des taux est activée et que vous appuyez sur Mettre à jour. La mise à jour à l’ouverture ne se fait que si vous la cochez aussi. |
| L’adresse d’une image glissée depuis un autre site web | PhotoSlop (photoslop/js/app/tabs.js) | Ouvre l’image glissée dans un nouvel onglet | Seulement quand vous faites glisser une image depuis une autre page vers PhotoSlop. |
slopographic.com (le site lui-même) | Chaque page, le logo de la page d’accueil, le service worker | Les fichiers propres au site | À chaque visite. Rien d’autre de cette origine n’est demandé. |
Le service d’IA que vous connectez avec votre propre clé : par exemple api.anthropic.com, api.openai.com, generativelanguage.googleapis.com, openrouter.ai ou api.groq.com, ou l’adresse que vous saisissez pour Ollama, LM Studio ou un autre serveur | Le panneau IA (shared/ai/cloud/, la liste des services dans shared/ai/cloud/catalog/) ; images par IA (shared/ai/imagegen/) | Vos messages, les outils de l’application et leurs résultats, et une copie d’un fichier ou d’une image seulement après que vous l’avez autorisé ; pour les images par IA, l’invite et, pour une modification, l’image (au plus 1536 px) | Seulement après que vous avez ajouté votre propre clé ou une adresse de serveur et envoyé une requête. Un modèle sur votre appareil n’envoie rien. |
openrouter.ai/auth (une page où vous allez) et openrouter.ai/api/v1/auth/keys | Se connecter avec OpenRouter dans le panneau IA (shared/ai/cloud/signin.js) | Vers la page de connexion : l’adresse de cette page où revenir, un défi PKCE et un état aléatoire. Vers l’adresse de la clé : le code à usage unique donné par OpenRouter et son vérificateur PKCE ; OpenRouter répond par une clé pour ce navigateur. Directement entre votre navigateur et OpenRouter, rien par les serveurs de Slopographic. | Seulement quand vous appuyez sur Se connecter avec OpenRouter. |
127.0.0.1 (votre propre ordinateur) | Connecter une application d’IA (shared/agent/bridge.js) | La page parle au serveur MCP de Slopographic que votre application d’IA a lancé : les outils de l’application, leurs résultats, et les fichiers que vous demandez d’envoyer ou d’enregistrer | Seulement après que vous choisissez « Connecter une application d’IA… » et tapez le code que l’application d’IA affiche. Chrome demande d’abord. |
| Liens seulement : Patreon, YouTube et Vimeo | Lien de don (shared/consent/donate.js), liens vidéo des Notes (notes/js/video.js) | Ouvre le site dans un nouvel onglet quand vous cliquez | Seulement quand vous cliquez. Une vidéo dans une note s’affiche comme un lien, et non comme un lecteur intégré ou une image miniature. |
Deux choses qui ressemblent à une utilisation du réseau mais ne le sont pas : tools/vendor-codemirror.mjs récupère des paquets depuis cdn.jsdelivr.net quand un développeur le lance à la main pour mettre à jour le code fourni. Les applications ne chargent jamais ce CDN. La visionneuse de courriels (eml/js/frame.js) bloque les images et scripts distants du message grâce à une politique de sécurité de contenu, si bien que l’ouverture d’un message ne charge ni image ni script distant.
Cookies et statistiques
- Stocké par le code du site : un choix de consentement dans localStorage (
slop-consent), avec les statistiques, les publicités et les taux désactivés jusqu’à votre choix. Le stockage peut être effacé dans le navigateur à tout moment. - Non stocké par le code du site : ni cookie ni compte. Le dépôt n’écrit jamais de cookie.
- Google Analytics : sur la page d’accueil, la balise est chargée avec
analytics_storageréglé sur refusé. Elle n’est activée que lorsque vous acceptez les statistiques. Sur les autres pages, elle ne se charge qu’après votre acceptation. - Les scripts propres à Google peuvent poser leurs propres cookies quand ils tournent. Cela relève de Google, et non du code de Slopographic. Les étapes de vérification ci-dessous montrent ce que le navigateur stocke réellement.
- Publicités : AdSense ne se charge qu’après que vous avez accepté les publicités. Refuser les publicités laisse les emplacements publicitaires vides.
Travailler hors ligne
Après une visite, les fichiers propres au site sont gardés dans Cache Storage par le service worker (service-worker.js, avec sa liste de fichiers dans sw-precache.js). Les pages sont d’abord demandées au réseau, puis prises dans le cache, et enfin la page hors ligne s’affiche. Vos fichiers ne sont pas dans le cache du service worker : ils sont dans le dossier que vous avez choisi, ou dans IndexedDB. Les applications continuent de fonctionner avec le réseau coupé. Les téléchargements (les modèles et paquets de polices listés plus haut) ont besoin du réseau la première fois.
Comment le vérifier vous-même
- Onglet Réseau, avec la page chargée. Ouvrez l’application, appuyez sur F12 (ou Cmd+Option+I sur un Mac), et ouvrez l’onglet Réseau. Cochez « Conserver le journal », puis rechargez. Lisez la colonne Domaine. Lors d’une visite simple, vous ne devriez voir que
slopographic.com, plus les domaines d’analyse de Google sur la page d’accueil. - Onglet Réseau, hors ligne. Dans l’onglet Réseau, ouvrez le menu de limitation et choisissez Hors ligne. Rechargez, puis ouvrez un fichier, modifiez-le et enregistrez-le. L’application doit fonctionner. Tout ce qui demande un téléchargement l’indique.
- Onglet Application, stockage. Dans Chrome ou Edge, ouvrez l’onglet Application. Sous Stockage, regardez Stockage local, Stockage de session, IndexedDB, Cookies, Cache Storage et Service workers. Comparez ce que vous voyez avec les tableaux de cette page.
- Accepter ou refuser, puis comparer. Refusez les statistiques et les publicités dans la bande de consentement, rechargez, et revérifiez l’onglet Réseau. Acceptez-les ensuite, et voyez quelles requêtes apparaissent.
- Lire le code source. Le code est public dans le dépôt slopographic sur GitHub. Cherchez-y
fetch(,indexedDB.open,localStorageoushowDirectoryPickerpour confirmer une ligne de cette page. Le code du consentement est dansshared/consent/, la synchronisation dans le nuage dansshared/sync/, et les listes de téléchargement dansshared/library/etaitools/.
Les dossiers locaux (l’API d’accès aux fichiers) nécessitent Chrome ou Edge. Firefox et Safari ne les proposent pas, et les applications le signalent là où c’est pertinent.