مكتوب لفرق الأمان، وعن منتجنا الخاص بقدر ما هو عن أي منتج آخر.

المقدمة

هذه المقالة منشورة على مدونة عارض مستندات مجاني على الإنترنت. من المهم الإشارة إلى ذلك في السطر الأول، لأن النوع الذي تنتمي إليه — "المخاطر الخفية لأدوات PDF المجانية" — عادةً ما يكون عرض مبيعات يرتدي معطف مختبر، ويجب أن تقرأ هذه المقالة مع وضع ذلك في الاعتبار.

إليك الإفصاح من البداية. Doconut.app هو عارض مستضاف مجاني. عندما تستخدمه، يتم تحميل ملف PDF الخاص بك إلى خوادمنا، يتم عرضه هناك، ويتم حذفه عندما تنتهي جلسة العرض. كل ما يلي حول المخاطر الهيكلية لتحميل مستند إلى بنية تحتية يملكها شخص آخر ينطبق علينا أيضًا. لن نجادل بخلاف ذلك؛ سنكون محددين بشأن ما نفعله وما لا نفعله، وسنترك لك القرار بشأن المستندات التي ينبغي أن تكون هنا.

1. الخطر هيكلي، وليس غريبًا

المخاطر المثيرة للاهتمام ليست ثغرات صفرية. إنها العواقب العادية لوجود الملف في مكان لا تتحكم فيه.

التحميل حقيقي. يجب على العارض المستضاف أن يتلقى المستند ليتمكن من عرضه. أي شخص يدعي وجود خدمة مستضافة حيث "الملف لا يغادر جهازك أبداً" إما يصف أداة تعمل بالكامل على جانب العميل أو يصف شيئًا بشكل غير دقيق. على Doconut.app يتم التحميل عبر HTTPS، مما يحميه أثناء النقل — ثم يصبح الملف على خوادمنا، لأن ذلك ضروري.

الاحتفاظ هو وعد، وليس آلية يمكنك فحصها. نقول إن الملف يُحذف عندما تنتهي الجلسة. هذا صحيح، ولا يمكنك التحقق منه من الخارج. هذه هي جوهر المشكلة مع كل عارض مجاني، بما في ذلك هذا: أنت تمد الثقة إلى منظمة لا يوجد لديك عقد معها.

البنية التحتية المشتركة مشتركة. خدمة عامة مجانية تعالج مستندات العديد من العملاء على بنية تحتية مشتركة. هذا وضع خطر مختلف عن البرمجيات التي تعمل داخل شبكتك الخاصة، بغض النظر عن مدى حرصك على تشغيلها.

عدم وجود اتفاق يعني عدم وجود أساس قانوني. إذا كنت تتعامل مع بيانات شخصية وفقًا للـ GDPR، أو معلومات صحية شخصية وفقًا للـ HIPAA، فإن نقل ملف إلى معالج لا يملك اتفاقية معالجة بيانات (DPA) أو اتفاقية شريك تجاري (BAA) يمثل مشكلة في لحظة التحميل — سواء تم اختراق شيء أم لا. Doconut.app لا يملك DPA ولا BAA معك. بالنسبة للمواد الخاضعة للتنظيم، هذا هو الجواب الكامل، ولا يغيّر أي قدر من التشفير ذلك.

2. ما لا نقوم به

النوع الذي تنتمي إليه هذه المقالة يميل إلى الوعد بكل شيء. بما أن الهدف هنا هو المعايرة، فإن القائمة الأكثر فائدة هي ما هو غائب:

لا توجد شهادات أمان. لا ISO 27001، لا SOC 2، لا شهادة HIPAA، لا تقييم PCI DSS. لا للمواقع المجانية، ولا لـ SDK. إذا كان استبيان المورد الخاص بك يطلب شهادة، فنحن لا نمتلك واحدة.
لا سجل تدقيق. لا توجد حسابات على Doconut.app، لذا لا شيء يمكن نسبه إلى وصول ولا مسار لتسليمه لك.
لا إزالة بيانات التعريف. نحن نعرض المستند كما هو. تبقى أسماء المؤلفين، وسجل الإصدارات، والتعليقات داخل الملف — وهذا أمر يستحق المعرفة قبل أن تُرسل عقدًا، رغم أن هذا الخطر يعود للمستند نفسه وليس لنا.
لا تشفير عند السكون للحديث عنه. لا نوفر تخزينًا مشفرًا، لأننا لا نوفر تخزينًا أصلاً. عدم حفظ شيء هو خاصية أقوى من تشفيره، لكنه خاصية مختلفة، وغالبًا ما يخلط البائعون بينهما.
لا احتفاظ قابل للتكوين. التوقيت لنا. لا توجد إعدادات يمكنك تعديلها.

3. ما نقوم به

يتم التحميل عبر HTTPS.
يتم عرض المستند على خوادمنا، ويتلقى المتصفح صفحات بدلاً من ملف المصدر.
العرض ليس تنفيذًا: الماكرو في ملف Office لا يعمل، ولا تُفعَّل إجراءات PDF. العارض يرسم المستند.
يتم حذف الملف عند انتهاء جلسة العرض. لا مكتبة، لا تاريخ، لا حساب.
يرفض الرافـع ما لا يستطيع معالجته قبل الإرسال — قائمة ثابتة من أكثر من 70 امتدادًا، مع حد أقصى للحجم لكل صيغة يتراوح من 5 ميغابايت إلى 25 ميغابايت.
يتم استبعاد DICOM عمدًا. لا يتم قبول .dcm و.ima، وذلك لأن ملف DICOM يحمل معرفات المرضى إلى جانب الصورة ونقطة تحميل عامة ليست المكان المناسب له.

4. اختبار يمكنك تطبيقه على أي عارض مجاني، بما في ذلك هذا

بدلاً من جرد التهديدات، أربع أسئلة تفرق بين القابل للاستخدام وغير القابل للاستخدام:

هل يوضح بوضوح ما إذا كان الملف قد تم تحميله؟ إذا كان الجواب غامضًا، افترض أنه تم تحميله.
هل يحدد فترة الاحتفاظ بعبارات محددة؟ "تم الحذف عند انتهاء جلستك" أو "تم الإزالة بعد 60 دقيقة" هي إجابات. "ملفاتك آمنة معنا" ليست كذلك.
هل سيوقع اتفاقية؟ بالنسبة للبيانات المنظمة هذا هو السؤال الوحيد الذي يهم، والخدمات المجانية نادراً ما تفعل ذلك. نحن لا نفعل.
هل يدعي الحصول على شهادات؟ إذا كان الجواب نعم، اطلب الشهادة ونطاقها. العديد من الادعاءات في هذه الفئة لا تصمد أمام هذا الطلب.

مطبقًا على Doconut.app: نعم يتم التحميل، نعم الحذف عند انتهاء الجلسة، لا سنوقع على اتفاقية معالجة البيانات (DPA)، ولا نمتلك أي شهادات. هذا الجمع مناسب للعديد من المستندات وغير مناسب لبعضها. الفكرة هي أنك تستطيع التمييز بينهما.

5. عندما يكون العارض المستضاف الأداة الخاطئة

إذا كان المستند خاضعًا لنظام امتثال، أو مغطى بالتزام سرية العميل، أو ببساطة شيء لا تشعر بالراحة في شرحه في مراجعة حادثة، فلا عارض مستضاف مجاني هو الجواب الصحيح — بما في ذلك عارضنا. الحل الهيكلي هو إبقاء العرض داخل شبكتك الخاصة.

هذا هو ما تهدف إليه مجموعة تطوير Doconut: محرك العرض .NET نفسه خلف هذا الموقع، مثبت في بيئتك الخاصة. يعرض على خوادمك ولا يجري أي اتصال بنا، لذا لا يعبر المستند أبدًا حدًا لم تقم بتقييمه مسبقًا.

كن واضحًا أيضًا بشأن ما ليست عليه مجموعة التطوير. لا توفر تشفيرًا عند التخزين، ولا إدارة مفاتيح، ولا تكامل موفر هوية، ولا سجل تدقيق، ولا يمكنها جعل تطبيقك متوافقًا مع أي شيء. تلك الضوابط هي لك — وهذا هو المقصود، لأنها أيضًا ما يمكنك إثباته بالفعل. مكوّن يعمل داخل شبكتك ولا يتصل بأحد هو حجة معمارية، ولأغلب مراجعات الأمان يكون أكثر فائدة من شهادة تابعة لطرف ثالث.

الخلاصة

عارضات PDF المجانية مفيدة حقًا، ومعظم المستندات التي يتعامل معها الناس ليست حساسة. الفشل ليس في استخدامها؛ بل في استخدامها دون معرفة الفئة التي ينتمي إليها ملفك.

بالنسبة لمستند عادي تحتاج إلى قراءته مرة واحدة، فإن عارض لا يحتفظ بأي شيء هو خيار معقول — وأكثر أمانًا من تنزيل الملف وفتحه في أي برنامج مثبت. سيقوم تطبيق Doconut بذلك، مجانًا، دون حساب، ويحذفه بعد ذلك.

لأي شيء تحت التزام تحتاج إلى الدفاع عنه، احتفظ بالمعالجة على عتاد تتحكم فيه.

الإجراءات الفورية

تدقيق سير عمل PDF في مؤسستك وتسجيل الأدوات المجانية المستخدمة بالفعل — عادةً ما تكون أكثر مما يتوقعه أي شخص.
تصنيف أنواع المستندات التي قد تُرسل إلى خدمة مستضافة على الإطلاق. هذا قرار سياسات، ليس تقنيًا.
نقل البقية داخليًا، سواء باستخدام مجموعة تطوير Doconut أو ما يعادلها، والاحتفاظ بالأدلة التي سيطلبها المدققون.