נכתב עבור צוותי אבטחה, ועל המוצר שלנו באותה מידה כמו של כל אחד אחר.

מבוא

מאמר זה מתפרסם בבלוג של מציג מסמכים מקוון חינמי. זה שווה לציין בשורה הראשונה, מכיוון שהז'אנר אליו הוא שייך — "הסכנות המוסתרות של כלי PDF חינמיים" — הוא בדרך כלל פיץ' מכירות בלבוש מעבדה, וכדאי לקרוא אותו עם מחשבה זו.

אז הנה הגילוי מראש. Doconut.app הוא מציג מאוחסן חינמי. כאשר אתה משתמש בו, קובץ ה‑PDF שלך מועלה לשרתים שלנו, מוצג שם, ונמחק כאשר סשן הצפייה שלך מסתיים. כל מה שמופיע להלן לגבי הסיכונים המבניים של העלאת מסמך לתשתית של מישהו אחר חל גם עלינו. אנחנו לא נווכח אחרת; אנחנו נפרט מה אנחנו עושים ומה אנחנו לא עושים, ונאפשר לך להחליט אילו מסמכים שייכים כאן.

1. הסיכון הוא מבני, לא אקזוטי

הסיכונים המעניינים אינם אפסי‑יום. הם ההשלכות הרגילות של קובץ שנמצא במקום שאינך שולט בו.

ההעלאה היא אמיתית. מציג מאוחסן חייב לקבל את המסמך כדי להציג אותו. כל מי שטוען לשירות מאוחסן שבו "הקובץ לעולם לא עוזב את המחשב שלך" מתאר או כלי שמופעל רק בצד הלקוח או מתאר משהו באופן לא מדויק. ב‑Doconut.app ההעלאה מתבצעת דרך HTTPS, שמגן עליה במהלך ההעברה — ולאחר מכן הקובץ נמצא על השרתים שלנו, מכיוון שזה הכרחי.

השמירה היא הבטחה, לא מנגנון שניתן לבדוק. אנו אומרים שהקובץ נמחק כאשר הסשן מסתיים. זה נכון, ולא ניתן לאמת זאת מבחוץ. זהו ליבת הבעיה עם כל מציג חינמי, כולל זה: אתה מרחיב אמון לארגון שאין לך חוזה איתו.

תשתית משותפת היא משותפת. שירות ציבורי חינמי מעבד מסמכי רבים של לקוחות על תשתית משותפת. זהו מצב סיכון שונה מתוכנה הפועלת בתוך הרשת שלך, ללא קשר למידת הקפדנות בניהול.

חוסר הסכם משמעותו חוסר בסיס משפטי. אם אתה מטפל בנתונים אישיים תחת GDPR, או ב‑PHI תחת HIPAA, העברת קובץ למעבד ללא הסכם עיבוד נתונים (DPA) או הסכם שותף עסקי (BAA) היא בעיה ברגע ההעלאה — בין אם מתרחשת הפרה או לא. ל‑Doconut.app אין DPA ואין BAA איתך. עבור חומר מוסדר, זהו כל התשובה, ואין כמות הצפנה שתשנה זאת.

2. מה שאנחנו לא עושים

הז'אנר שאליו שייך מאמר זה נוטה להבטיח הכל. מכיוון שהמטרה כאן היא כיול, הרשימה המועילה יותר היא מה שחסר:

אין תעודות אבטחה. אין ISO 27001, אין SOC 2, אין אישור HIPAA, אין הערכת PCI DSS. לא לאתרים החינמיים, ולא ל‑SDK. אם שאלון הספק שלך מבקש תעודה, אין לנו אחת.
אין יומן ביקורת. אין חשבונות ב‑Doconut.app, ולכן אין מה לשייך גישה אליו ואין מסלול שתוכל לקבל.
אין הסרת מטא‑נתונים. אנו מציגים את המסמך כפי שהוא. שמות מחברים, היסטוריית גרסאות והערות בקובץ נשארים בקובץ — מידע שכדאי לדעת לפני שאתה מעביר חוזה, אם כי הסיכון שייך למסמך ולא לנו.
אין הצפנה במנוחה לשיחה עליה. אנחנו לא מציעים אחסון מוצפן, מכיוון שאנחנו לא מציעים אחסון. אי‑שמירה של משהו היא תכונה חזקה יותר מהצפנה, אך זו תכונה שונה, וספקים מעורפלים בין השתיים.
אין שמירת זמן ניתנת להגדרה. התזמון הוא שלנו. אין הגדרה עבורך להתאים.

3. מה אנחנו עושים

ההעלאה מתבצעת דרך HTTPS.
המסמך מוצג בשרתים שלנו, והדפדפן מקבל דפים במקום קובץ המקור.
הצגה אינה הרצה: מאקרו בקובץ Office אינו פועל, ופעולות PDF אינן מופעלות. הצופה מצייר את המסמך.
הקובץ נמחק כאשר סשן הצפייה מסתיים. אין ספרייה, אין היסטוריה, אין חשבון.
המעלה מסרב למה שהוא לא יכול לטפל בו לפני השליחה — רשימה קבועה של יותר מ‑70 הרחבות, עם תקרת גודל לכל פורמט מ‑5 מ״ב עד 25 מ״ב.
DICOM אינו נכלל במכוון. קבצי .dcm ו‑.ima אינם מתקבלים, בדיוק מכיוון שקובץ DICOM נושא מזהי מטופלים יחד עם התמונה ונקודת העלאה ציבורית אינה המקום המתאים לכך.

4. מבחן שניתן ליישם על כל מציג חינמי, כולל זה

במקום רשימת איומים, ארבע שאלות שמפרידות בין השימושי ללא‑שימושי:

האם הוא מציין באופן ברור האם הקובץ הועלה? אם התשובה מעורפלת, נניח שהוא הועלה.
האם הוא מציין תקופת שמירה במונחים ספציפיים? “נמחק כאשר הסשן שלך מסתיים” או “הוסר לאחר 60 דקות” הן תשובות. “הקבצים שלך בטוחים אצלנו” אינה תשובה.
האם הוא יחתום על הסכם? עבור נתונים מוסדרים זו השאלה היחידה שחשובה, ושירותים חינמיים כמעט ולא יעשו זאת. אנחנו לא.
האם הוא טוען לתעודות? אם כן, בקש את התעודה ואת תחום הכיסוי שלה. רבים מהטענות בקטגוריה זו אינן עומדות בבקשה זו.

הוחל על Doconut.app: כן, הוא מעלה, כן, המחיקה מתבצעת בסוף הסשן, לא, אנחנו לא נחתום על DPA, ולא, אין לנו תעודות. השילוב הזה מתאים למספר רב של מסמכים ולא מתאים לאחרים. הרעיון הוא שאתה יכול להבחין מהו מה.

5. מתי מציג מתארח הוא הכלי הלא נכון

אם המסמך כפוף למנגנון ציות, מכוסה בחובת סודיות לקוח, או פשוט משהו שלא תרגיש נוח להסביר בביקורת אירוע, אין מציג מתארח חינמי שהוא הפתרון הנכון — כולל שלנו. הפתרון המבני הוא לשמור את ההצגה בתוך הרשת שלך.

זה מה שמיועד ל-Doconut SDK: מנוע ההצגה של .NET זהה לאתר זה, מותקן בסביבה שלך. הוא מציג בשרתים שלך ולא יוצר שום קריאה אלינו, ולכן המסמך לעולם לא חוצה גבול שלא הערכת מראש.

היה ברור גם לגבי מה שה‑SDK אינו. הוא אינו כולל הצפנה במנוחה, ניהול מפתחות, אינטגרציה עם ספק זהות או יומן ביקורת, והוא אינו יכול להפוך את האפליקציה שלך לתואמת לכל דבר. אותם בקרות הן שלך — וזה העיקר, מכיוון שאלו הן גם הבקרות שאתה כבר יכול להוכיח. רכיב שפועל בתוך הרשת שלך ולא קורא לאף גורם הוא טיעון ארכיטקטוני, וברוב ביקורות האבטחה הוא יותר מועיל מתעודה של צד שלישי.

סיכום

מציגי PDF חינמיים הם באמת שימושיים, ורוב המסמכים שרוב האנשים מטפלים בהם אינם רגישים. הכשל אינו בשימוש במציג; אלא בשימוש במציג ללא ידיעת הקטגוריה של הקובץ שלך.

למסמך רגיל שאתה צריך לקרוא פעם אחת, מציג שלא שומר דבר הוא בחירה סבירה — ובטוחה יותר מהורדת הקובץ ופתיחתו בתוכנה המותקנת. Doconut.app יעשה זאת, בחינם, ללא חשבון, וימחק אותו לאחר מכן.

לכל דבר תחת חובת ציות שתצטרך להגן עליו, שמור את העיבוד על חומרה שאתה שולט בה.

פעולות מיידיות

ביקורת את זרימות העבודה של PDF בארגון שלך ורשום את הכלים החינמיים שכבר בשימוש — בדרך כלל יש יותר ממה שמצופה.
סווג אילו סוגי מסמכים יכולים לעבור לשירות מתארח בכלל. זהו החלטת מדיניות, לא החלטה טכנית.
העבר את השאר פנימית, בין אם באמצעות Doconut SDK או פתרון מקביל, ושמור את ההוכחות שהמבקרים שלך יבקשו.