Escrito para equipos de seguridad, y sobre nuestro propio producto tanto como sobre el de cualquier otro.

Introducción

Este artículo se publica en el blog de un visor de documentos en línea gratuito. Eso vale la pena mencionar en la primera línea, porque el género al que pertenece — "los peligros ocultos de las herramientas PDF gratuitas" — suele ser un discurso de ventas con bata de laboratorio, y deberías leer este con eso en mente.

Así que aquí está la divulgación desde el principio. Doconut.app es un visor alojado gratuito. Cuando lo usas, tu PDF se sube a nuestros servidores, se renderiza allí y se elimina cuando termina tu sesión de visualización. Todo lo que sigue sobre los riesgos estructurales de subir un documento a la infraestructura de otra persona también se aplica a nosotros. No vamos a argumentar lo contrario; vamos a ser específicos sobre lo que hacemos y lo que no hacemos, y dejar que tú decidas qué documentos pertenecen aquí.

1. El riesgo es estructural, no exótico

Los riesgos interesantes no son vulnerabilidades de día cero. Son las consecuencias ordinarias de que el archivo esté en un lugar que no controlas.

La carga es real. Un visor alojado tiene que recibir el documento para poder renderizarlo. Cualquiera que afirme un servicio alojado donde "el archivo nunca sale de tu máquina" está describiendo una herramienta puramente del lado del cliente o describiendo algo de forma inexacta. En Doconut.app la carga se realiza a través de HTTPS, lo que lo protege en tránsito — y luego el archivo está en nuestros servidores, porque tiene que estarlo.

La retención es una promesa, no un mecanismo que puedas inspeccionar. Decimos que el archivo se elimina cuando la sesión termina. Eso es cierto, y no puedes verificarlo desde fuera. Este es el núcleo del problema con todos los visores gratuitos, incluido este: estás extendiendo confianza a una organización con la que no tienes contrato.

La infraestructura compartida es compartida. Un servicio público gratuito procesa los documentos de muchos clientes en una infraestructura común. Eso representa una postura de riesgo diferente al software que se ejecuta dentro de tu propia red, sin importar cuán cuidadosamente se opere.

Sin acuerdo no hay base legal. Si manejas datos personales bajo GDPR, o PHI bajo HIPAA, mover un archivo a un procesador sin un Acuerdo de Procesamiento de Datos (DPA) o un Acuerdo de Asociado de Negocio (BAA) es un problema en el momento de la carga — haya o no una violación posterior. Doconut.app no tiene DPA ni BAA contigo. Para material regulado, esa es la respuesta completa, y ninguna cantidad de cifrado lo cambia.

2. Lo que no hacemos

El género al que pertenece este artículo tiende a prometerlo todo. Dado que el objetivo aquí es la calibración, la lista más útil es la de lo que falta:

No hay certificaciones de seguridad. No ISO 27001, no SOC 2, no certificación HIPAA, no evaluación PCI DSS. No para los sitios gratuitos, y no para el SDK. Si tu cuestionario de proveedores pide un certificado, no lo tenemos.
No hay registro de auditoría. No existen cuentas en Doconut.app, por lo que no hay nada a lo que atribuir un acceso y no hay rastro que entregarte.
No se elimina metadatos. Renderizamos el documento tal como está. Los nombres de autor, el historial de revisiones y los comentarios en el archivo permanecen en el archivo — lo cual es importante saber antes de reenviar un contrato, aunque ese riesgo pertenece al documento más que a nosotros.
No hay cifrado en reposo del que hablar. No ofrecemos almacenamiento cifrado, porque no ofrecemos almacenamiento. No guardar algo es una propiedad más fuerte que cifrarlo, pero es una propiedad diferente, y los proveedores confunden ambas.
No hay retención configurable. El tiempo lo determinamos nosotros. No hay una configuración que puedas ajustar.

3. Qué hacemos

La carga se realiza a través de HTTPS.
El documento se renderiza en nuestros servidores, y el navegador recibe páginas en lugar del archivo fuente.
La renderización no es ejecución: las macros en un archivo de Office no se ejecutan, y las acciones de PDF no se activan. El visor dibuja el documento.
El archivo se elimina cuando termina la sesión de visualización. Sin biblioteca, sin historial, sin cuenta.
El cargador rechaza lo que no puede manejar antes de enviar — una lista fija de más de 70 extensiones, con un límite de tamaño por formato de 5 MB a 25 MB.
DICOM se excluye deliberadamente. No se aceptan .dcm ni .ima, precisamente porque un archivo DICOM lleva identificadores de pacientes junto con la imagen y un punto de carga público no es el lugar adecuado para ello.

4. Una prueba que puedes aplicar a cualquier visor gratuito, incluido este

En lugar de un inventario de amenazas, cuatro preguntas que separan lo utilizable de lo inutilizable:

¿Indica claramente si el archivo se carga? Si la respuesta es vaga, asume que se carga.
¿Indica un período de retención en términos específicos? "Eliminado cuando termina tu sesión" o "eliminado después de 60 minutos" son respuestas. "Tus archivos están seguros con nosotros" no lo es.
¿Firmará un acuerdo? Para datos regulados esta es la única pregunta que importa, y los servicios gratuitos casi nunca lo harán. Nosotros no lo hacemos.
¿Reclama certificaciones? Si es así, solicita el certificado y su alcance. Muchas de las afirmaciones en esta categoría no sobreviven a esa solicitud.

Aplicado a Doconut.app: sí, sube, sí, la eliminación es al final de la sesión, no firmaremos un DPA, y no poseemos certificaciones. Esa combinación es adecuada para una gran cantidad de documentos y descalifica a algunos. El punto es que puedes saber cuál es cuál.

5. Cuando un visor alojado es la herramienta equivocada

Si el documento está sujeto a un régimen de cumplimiento, cubierto por una obligación de confidencialidad del cliente, o simplemente algo que no te sentirías cómodo explicando en una revisión de incidentes, ningún visor alojado gratuito es la respuesta correcta — incluido el nuestro. La solución estructural es mantener la renderización dentro de tu propia red.

Para eso sirve el SDK de Doconut: el mismo motor de renderizado .NET que está detrás de este sitio, instalado en tu propio entorno. Renderiza en tus servidores y no hace llamadas a nosotros, por lo que el documento nunca cruza un límite que no hayas evaluado ya.

Sé igualmente claro sobre lo que el SDK no es. No incluye cifrado en reposo, gestión de claves, integración con un proveedor de identidad o un registro de auditoría, y no puede hacer que tu aplicación cumpla con nada. Esos controles son tuyos — y ese es el punto, porque también son los que ya puedes evidenciar. Un componente que se ejecuta dentro de tu red y no llama a nadie es un argumento arquitectónico, y para la mayoría de revisiones de seguridad es más útil que un certificado de un tercero.

Conclusión

Los visores de PDF gratuitos son realmente útiles, y la mayoría de los documentos que la gente maneja no son sensibles. El error no es usar uno; es usarlo sin saber en qué categoría está tu archivo.

Para un documento ordinario que necesitas leer una sola vez, un visor que no guarda nada es una opción razonable — y más segura que descargar el archivo y abrirlo con lo que sea que esté instalado. ¡Doconut.app hará eso, gratis, sin cuenta, y lo eliminará después.

Para cualquier cosa bajo una obligación que tendrías que defender, mantén el procesamiento en hardware que controles.

Acciones inmediatas

Auditar los flujos de trabajo PDF en tu organización y catalogar las herramientas gratuitas ya en uso — usualmente hay más de lo que cualquiera espera.
Clasificar qué tipos de documentos pueden ir a un servicio alojado en absoluto. Esto es una decisión de política, no técnica.
Mover el resto internamente, ya sea con el SDK de Doconut o un equivalente, y conservar la evidencia que tus auditores solicitarán.