Rédigé pour les équipes de sécurité, et autant sur notre propre produit que sur celui de n'importe qui d'autre.

Introduction

Cet article est publié sur le blog d’un visionneur de documents en ligne gratuit. Cela vaut la peine de le préciser dès la première ligne, car le genre auquel il appartient — « les dangers cachés des outils PDF gratuits » — est généralement un argument de vente déguisé en blouse blanche, et vous devez lire celui‑ci en gardant cela à l’esprit.

Voici donc la divulgation dès le départ. Doconut.app est un visionneur hébergé gratuit. Lorsque vous l’utilisez, votre PDF est téléversé sur nos serveurs, rendu là‑bas, puis supprimé à la fin de votre session de visualisation. Tout ce qui suit concernant les risques structurels liés au téléversement d’un document sur l’infrastructure de quelqu’un d’autre s’applique également à nous. Nous n’allons pas argumenter le contraire ; nous allons être précis sur ce que nous faisons et ne faisons pas, et vous laisser décider quels documents appartiennent ici.

1. Le risque est structurel, pas exotique

Les risques intéressants ne sont pas des zero‑day. Ce sont les conséquences ordinaires du fait que le fichier se trouve quelque part que vous ne contrôlez pas.

Le téléversement est réel. Un visionneur hébergé doit recevoir le document pour pouvoir le rendre. Quiconque prétend offrir un service hébergé où « le fichier ne quitte jamais votre machine » décrit soit un outil purement côté client, soit quelque chose d’inexact. Sur Doconut.app le téléversement s’effectue via HTTPS, ce qui le protège pendant le transit — puis le fichier se trouve sur nos serveurs, car il doit y être.

La rétention est une promesse, pas un mécanisme que vous pouvez inspecter. Nous affirmons que le fichier est supprimé à la fin de la session. C’est vrai, et vous ne pouvez pas le vérifier de l’extérieur. C’est le cœur du problème avec tout visionneur gratuit, y compris celui‑ci : vous accordez votre confiance à une organisation avec laquelle vous n’avez aucun contrat.

L’infrastructure partagée est partagée. Un service public gratuit traite les documents de nombreux clients sur une infrastructure commune. C’est une posture de risque différente de celle d’un logiciel fonctionnant à l’intérieur de votre propre réseau, quel que soit le soin apporté à son exploitation.

L’absence d’accord signifie l’absence de base légale. Si vous traitez des données personnelles sous le RGPD, ou des PHI sous HIPAA, déplacer un fichier vers un processeur sans Accord de Traitement des Données (DPA) ni Business Associate Agreement (BAA) constitue un problème au moment du téléversement — que quelque chose soit violé ou non. Doconut.app n’a ni DPA ni BAA avec vous. Pour les matériaux réglementés, c’est la réponse complète, et aucune quantité de chiffrement ne change cela.

2. Ce que nous ne faisons pas

Le genre auquel appartient cet article a tendance à promettre tout. Puisque le but ici est l’étalonnage, la liste la plus utile est celle de ce qui est absent :

Aucune certification de sécurité. Pas ISO 27001, pas SOC 2, pas attestation HIPAA, pas évaluation PCI DSS. Pas pour les sites gratuits, et pas pour le SDK. Si votre questionnaire fournisseur demande un certificat, nous n’en avons pas.
Aucun journal d’audit. Il n’y a pas de comptes sur Doconut.app, donc rien à attribuer à un accès et aucune trace à vous remettre.
Aucun dépouillement des métadonnées. Nous rendons le document tel quel. Les noms d’auteur, l’historique des révisions et les commentaires restent dans le fichier — ce qui vaut la peine d’être connu avant d’envoyer un contrat, même si ce risque appartient au document plutôt qu’à nous.
Aucun chiffrement au repos à signaler. Nous n’offrons pas de stockage chiffré, car nous n’offrons pas de stockage. Ne pas conserver quelque chose est une propriété plus forte que le chiffrer, mais c’est une propriété différente, et les fournisseurs confondent les deux.
Aucune rétention configurable. Le timing nous appartient. Il n’y a aucun réglage que vous puissiez ajuster.

3. Ce que nous faisons

Le téléchargement s'effectue via HTTPS.
Le document est rendu sur nos serveurs, et le navigateur reçoit des pages plutôt que le fichier source.
Le rendu n'est pas une exécution : les macros d'un fichier Office ne s'exécutent pas, et les actions PDF ne sont pas déclenchées. Le visualiseur dessine le document.
Le fichier est supprimé à la fin de la session de visualisation. Aucun historique, aucune bibliothèque, aucun compte.
L'uploader refuse ce qu'il ne peut pas gérer avant l'envoi — une liste fixe de plus de 70 extensions, avec un plafond de taille par format de 5 Mo à 25 Mo.
DICOM est délibérément exclu. .dcm et .ima ne sont pas acceptés, précisément parce qu'un fichier DICOM contient des identifiants de patients avec l'image et qu'un point de téléchargement public n'est pas l'endroit approprié.

4. Un test que vous pouvez appliquer à n'importe quel visualiseur gratuit, y compris celui-ci

Plutôt qu'un inventaire des menaces, quatre questions qui séparent le fonctionnel du non fonctionnel :

Indique-t-il clairement si le fichier est téléchargé ? Si la réponse est vague, supposez qu'il l'est.
Indique-t-il une période de conservation en termes précis ? « Supprimé à la fin de votre session » ou « retiré après 60 minutes » sont des réponses. « Vos fichiers sont en sécurité avec nous » ne l'est pas.
Sera-t-il prêt à signer un accord ? Pour les données réglementées, c'est la seule question qui compte, et les services gratuits le font presque jamais. Nous ne le faisons pas.
Prétend-il posséder des certifications ? Le cas échéant, demandez le certificat et son périmètre. De nombreuses affirmations dans cette catégorie ne tiennent pas la demande.

Appliqué à Doconut.app : oui, il télécharge, oui, la suppression se fait à la fin de la session, non, nous ne signerons pas de DPA, et non, nous ne détenons aucune certification. Cette combinaison convient à un grand nombre de documents et en disqualifie certains. L'essentiel est que vous puissiez identifier lequel est lequel.

5. Quand un visualiseur hébergé est le mauvais outil

Si le document est soumis à un régime de conformité, couvert par une obligation de confidentialité client, ou simplement quelque chose que vous ne seriez pas à l'aise d'expliquer lors d'une revue d'incident, aucun visualiseur hébergé gratuit n'est la bonne réponse — le nôtre inclus. La solution structurelle consiste à garder le rendu à l'intérieur de votre propre réseau.

C'est à cela que sert le Doconut SDK : le même moteur de rendu .NET que celui de ce site, installé dans votre propre environnement. Il rend sur vos serveurs et ne fait aucun appel vers nous, de sorte que le document ne franchit jamais une frontière que vous n'avez pas déjà évaluée.

Soyez tout aussi clair sur ce que le SDK n'est pas. Il ne fournit pas de chiffrement au repos, de gestion de clés, d'intégration d'un fournisseur d'identité ou de journal d'audit, et il ne peut pas rendre votre application conforme à quoi que ce soit. Ces contrôles sont les vôtres — ce qui est l'essentiel, car ce sont aussi ceux que vous pouvez déjà prouver. Un composant qui fonctionne à l'intérieur de votre réseau et n'appelle personne est un argument architectural, et pour la plupart des revues de sécurité, c'est un argument plus utile qu'un certificat appartenant à un tiers.

Conclusion

Les visualiseurs PDF gratuits sont réellement utiles, et la plupart des documents que les gens manipulent ne sont pas sensibles. L'échec n'est pas d'en utiliser un ; c'est d'en utiliser un sans savoir dans quelle catégorie se trouve votre fichier.

Pour un document ordinaire que vous devez lire une fois, un visualiseur qui ne conserve rien est un choix raisonnable — et plus sûr que de télécharger le fichier et de l'ouvrir avec ce qui est installé. Doconut.app le fera, gratuitement, sans compte, et le supprimera ensuite.

Pour tout ce qui est soumis à une obligation que vous devez défendre, conservez le traitement sur du matériel que vous contrôlez.

Actions immédiates

Auditer les flux de travail PDF dans votre organisation et répertorier les outils gratuits déjà utilisés — il y en a généralement plus que ce que l'on imagine.
Classer quels types de documents peuvent être envoyés à un service hébergé. Il s'agit d'une décision de politique, pas technique.
Déplacer le reste en interne, que ce soit avec le Doconut SDK ou un équivalent, et conserver les preuves que vos auditeurs demanderont.