Visualizzatore HTML

Come si usa

1. Apri un file o incolla il codice. Trascina sulla pagina un file .html, .htm, .xhtml o .svg, sceglilo dal dispositivo oppure incolla l'HTML nell'area di testo. I file possono arrivare a 5 MB.
2. Guarda l'anteprima. La pagina è mostrata in un riquadro isolato (sandbox). Scegli telefono, tablet o larghezza piena per vedere come si comporta a larghezze diverse.
3. Controlla il pannello Info. Vedi dimensione, righe, titolo, tipo di documento, charset, lingua, quanti script, fogli di stile, immagini, link e moduli contiene e quali domini esterni contatterebbe.
4. Attiva gli interruttori solo se serve. Se la pagina appare senza stile o vuota, prova "Carica risorse esterne" o "Esegui script". Restano entrambi nella sandbox, ma tienili spenti per i file di cui non ti fidi.

Come funziona l'anteprima

Un file HTML è solo testo che il browser trasforma in una pagina. Se lo apri con un doppio clic, il browser lo esegue con tutti i suoi poteri: può lanciare script e caricare qualsiasi cosa da internet. Questo visualizzatore apre lo stesso codice in un riquadro limitato, così puoi guardarlo prima.

• Riquadro in sandbox. L'anteprima è un iframe con l'attributo sandbox e senza allow-same-origin. Il file è trattato come proveniente da un'origine sconosciuta e non può leggere i dati o i cookie di questo sito.
• Content-Security-Policy. Di default una policy viene inserita all'inizio del documento. Blocca gli script e tutto ciò che verrebbe scaricato da altri siti: immagini, font e fogli di stile da internet non vengono caricati. Le immagini incorporate come data: e il CSS in <style> funzionano normalmente.
• Nessun caricamento. Il file è letto nel browser con la File API. Non viene inviato a nessun server e, con le impostazioni di default, aprirlo non genera richieste verso terzi.
• Moduli e navigazione. I moduli non possono essere inviati dall'anteprima e le richieste di rete degli script (fetch, XHR) restano bloccate anche con gli script attivi.

Poiché le risorse esterne sono bloccate, una pagina web salvata può sembrare più spoglia qui che in un browser normale. È normale e anche utile: mostra che cosa contiene il file da solo.

Il pannello Info è calcolato sul testo del sorgente con il riconoscimento di schemi, non con un parser HTML completo. Considera i conteggi un riepilogo veloce: commenti e contenuto dei blocchi script e style sono ignorati quando si contano i tag.

I due interruttori e cosa cambiano

Due interruttori decidono che cosa può fare la pagina in anteprima. Sono entrambi spenti di default. Qualunque cosa scelga, il riquadro resta isolato e non ottiene mai accesso a questo sito.

Anche con gli script attivi, le richieste fatte dagli script (fetch, XHR) restano bloccate e i moduli non si possono inviare. Caricare le risorse esterne, invece, fa richieste vere ad altri server.

A cosa serve

Quanto è sicuro e cosa non fa

Guardare un file sospetto qui, con le impostazioni di default, è più sicuro che aprirlo con un doppio clic, perché nulla viene eseguito e nulla viene scaricato. Le protezioni coinvolte sono la sandbox del browser e la Content-Security-Policy, gli stessi meccanismi che i browser usano per qualsiasi riquadro incorporato.

Resta comunque un visualizzatore, non un prodotto di sicurezza.

• Non è un antivirus. Non cerca malware, non riconosce minacce note e non dà un verdetto di sicuro o pericoloso.
• Una pagina può comunque ingannarti. Un finto modulo di accesso sembra vero anche quando non può inviare dati. Non inserire mai password, numeri di carta o codici in una pagina aperta da un allegato.
• Link. Non cliccare i link di un'anteprima di cui non ti fidi. Se una pagina ti dice di scaricare o installare qualcosa, non farlo.
• Gli interruttori cambiano il rischio. Caricare risorse esterne contatta server di terzi; eseguire gli script lancia il codice del file nella sandbox.
• I conteggi sono approssimati. Il pannello Info riassume il testo del file e può non vedere ciò che viene costruito dagli script durante l'esecuzione.

Per i file di cui proprio non puoi fidarti, la scelta più sicura è non aprirli affatto, oppure chiedere al mittente attraverso un altro canale. Tieni aggiornati sistema e browser.

Leggere il pannello Info

Il pannello è una lista di controllo che si legge in pochi secondi. Mostra la dimensione in byte e il numero di righe, poi:

• Titolo, tipo di documento, doctype. Il documento è una pagina HTML completa, un SVG o un frammento. Una pagina senza doctype può essere interpretata dai browser in quirks mode.
• Charset e lingua. Se il file non dichiara il charset, le lettere accentate possono apparire storpiate. L'attributo lang aiuta gli screen reader e la traduzione.
• Elementi. Il numero di tag trovati nel markup.
• Script e fogli di stile. Conteggi di quelli incorporati e quelli esterni. Gli script esterni sono il modo abituale con cui una pagina porta dentro codice da altri siti.
• Immagini, link, moduli, iframe. Segnali rapidi: un modulo in una pagina che non ti aspettavi, o un iframe che punta altrove, merita attenzione.
• Domini esterni. Gli host citati in src, href, srcset, url(...) e @import. Una breve lista di domini noti è normale per una pagina web salvata; molti domini sconosciuti meritano uno sguardo più attento.

Per lavorare con le date contenute in un report esportato, vedi il calcolatore di date.

Domande frequenti