Ditulis untuk tim keamanan, dan tentang produk kami sendiri sebanyak produk orang lain.

Pendahuluan

Artikel ini dipublikasikan di blog penampil dokumen online gratis. Itu layak disebutkan di baris pertama, karena genre yang dimilikinya — “bahaya tersembunyi alat PDF gratis” — biasanya merupakan promosi penjualan yang memakai jas laboratorium, dan Anda harus membaca ini dengan pemikiran tersebut.

Jadi inilah pengungkapan di awal. Doconut.app adalah penampil yang dihosting secara gratis. Saat Anda menggunakannya, PDF Anda diunggah ke server kami, dirender di sana, dan dihapus ketika sesi penayangan Anda berakhir. Semua yang berikut tentang risiko struktural mengunggah dokumen ke infrastruktur orang lain juga berlaku bagi kami. Kami tidak akan berdebat sebaliknya; kami akan menjelaskan secara spesifik apa yang kami lakukan dan tidak lakukan, dan membiarkan Anda memutuskan dokumen mana yang cocok di sini.

1. Risikonya bersifat struktural, bukan eksotis

Risiko menarik bukanlah zero‑day. Mereka adalah konsekuensi biasa dari file yang berada di tempat yang tidak Anda kontrol.

Pengunggahan itu nyata. Penampil yang dihosting harus menerima dokumen untuk dapat merendernya. Siapa pun yang mengklaim layanan yang dihosting di mana “file tidak pernah meninggalkan mesin Anda” entah sedang menggambarkan alat yang sepenuhnya sisi klien atau menggambarkan sesuatu secara tidak akurat. Di Doconut.app pengunggahan berjalan melalui HTTPS, yang melindunginya selama transmisi — dan kemudian file berada di server kami, karena harus begitu.

Retensi adalah janji, bukan mekanisme yang dapat Anda inspeksi. Kami mengatakan file dihapus ketika sesi berakhir. Itu benar, dan Anda tidak dapat memverifikasinya dari luar. Inilah inti masalah dengan setiap penampil gratis, termasuk yang ini: Anda memperluas kepercayaan kepada organisasi yang tidak memiliki kontrak dengan Anda.

Infrastruktur bersama tetap bersama. Layanan publik gratis memproses banyak dokumen pelanggan pada infrastruktur bersama. Itu merupakan postur risiko yang berbeda dibandingkan perangkat lunak yang berjalan di dalam jaringan Anda sendiri, terlepas dari seberapa hati‑hati operasinya.

Tidak ada perjanjian berarti tidak ada dasar hukum. Jika Anda menangani data pribadi di bawah GDPR, atau PHI di bawah HIPAA, memindahkan file ke pemroses tanpa Perjanjian Pemrosesan Data atau Perjanjian Rekan Bisnis yang berlaku merupakan masalah pada saat pengunggahan — terlepas apakah ada pelanggaran atau tidak. Doconut.app tidak memiliki DPA dan tidak memiliki BAA dengan Anda. Untuk materi yang diatur, itu adalah seluruh jawabannya, dan tidak ada jumlah enkripsi yang mengubahnya.

2. Apa yang tidak kami lakukan

Genre artikel ini cenderung menjanjikan segala hal. Karena tujuan di sini adalah kalibrasi, daftar yang lebih berguna adalah apa yang tidak ada:

Tidak ada sertifikasi keamanan. Tidak ada ISO 27001, tidak ada SOC 2, tidak ada attestas HIPAA, tidak ada penilaian PCI DSS. Tidak untuk situs gratis, dan tidak untuk SDK. Jika kuesioner vendor Anda meminta sertifikat, kami tidak memilikinya.
Tidak ada log audit. Tidak ada akun di Doconut.app, jadi tidak ada yang dapat diatribusikan sebagai akses dan tidak ada jejak yang dapat diberikan kepada Anda.
Tidak ada penghapusan metadata. Kami merender dokumen apa adanya. Nama penulis, riwayat revisi, dan komentar dalam file tetap berada dalam file — yang penting diketahui sebelum Anda meneruskan kontrak, meskipun risiko itu milik dokumen bukan kami.
Tidak ada enkripsi saat istirahat untuk dibicarakan. Kami tidak menawarkan penyimpanan terenkripsi, karena kami tidak menawarkan penyimpanan. Tidak menyimpan sesuatu adalah properti yang lebih kuat daripada mengenkripsinya, tetapi itu properti yang berbeda, dan vendor mencampur keduanya.
Tidak ada retensi yang dapat dikonfigurasi. Waktunya milik kami. Tidak ada pengaturan yang dapat Anda sesuaikan.

3. Apa yang kami lakukan

Pengunggahan berjalan melalui HTTPS.
Dokumen dirender di server kami, dan peramban menerima halaman alih-alih file sumber.
Rendering bukan eksekusi: makro dalam file Office tidak dijalankan, dan aksi PDF tidak dipicu. Penampil menggambar dokumen.
File dihapus ketika sesi penayangan berakhir. Tidak ada perpustakaan, tidak ada riwayat, tidak ada akun.
Pengunggah menolak apa yang tidak dapat ditangani sebelum mengirim — daftar tetap lebih dari 70 ekstensi, dengan batas ukuran per format dari 5 MB hingga 25 MB.
DICOM sengaja dikecualikan. .dcm dan .ima tidak diterima, tepat karena file DICOM membawa pengidentifikasi pasien bersama gambar dan titik akhir unggahan publik bukan tempat yang tepat untuk itu.

4. Tes yang dapat Anda terapkan pada penampil gratis mana pun, termasuk yang ini

Alih-alih inventaris ancaman, empat pertanyaan yang memisahkan yang dapat digunakan dari yang tidak dapat digunakan:

Apakah itu secara jelas menyatakan apakah file diunggah? Jika jawabannya samar, anggap file diunggah.
Apakah itu menyatakan periode retensi dalam istilah spesifik? “Dihapus ketika sesi Anda berakhir” atau “dihapus setelah 60 menit” adalah jawaban. “File Anda aman bersama kami” bukan.
Apakah mereka akan menandatangani perjanjian? Untuk data yang diatur ini adalah satu-satunya pertanyaan yang penting, dan layanan gratis hampir tidak pernah melakukannya. Kami tidak.
Apakah mereka mengklaim sertifikasi? Jika ya, minta sertifikat dan ruang lingkupnya. Banyak klaim dalam kategori ini tidak bertahan setelah permintaan tersebut.

Diterapkan pada Doconut.app: ya, ia mengunggah, ya, penghapusan terjadi pada akhir sesi, tidak kami tidak akan menandatangani DPA, dan tidak kami tidak memiliki sertifikasi. Kombinasi itu cocok untuk banyak dokumen dan menyingkirkan beberapa. Intinya Anda dapat membedakan mana yang mana.

5. Ketika penampil yang dihosting adalah alat yang salah

Jika dokumen berada di bawah rezim kepatuhan, dilindungi oleh kewajiban kerahasiaan klien, atau sekadar sesuatu yang tidak nyaman Anda jelaskan dalam tinjauan insiden, tidak ada penampil yang dihosting secara gratis yang menjadi jawaban yang tepat — termasuk milik kami. Solusi strukturalnya adalah menjaga rendering di dalam jaringan Anda sendiri.

Itu tujuan dari Doconut SDK: mesin rendering .NET yang sama di balik situs ini, dipasang di lingkungan Anda sendiri. Ia merender di server Anda dan tidak melakukan panggilan ke kami, sehingga dokumen tidak pernah melintasi batas yang belum Anda nilai.

Juga jelas tentang apa yang bukan merupakan SDK. Ia tidak menyediakan enkripsi saat istirahat, manajemen kunci, integrasi penyedia identitas, atau log audit, dan tidak dapat membuat aplikasi Anda patuh terhadap apa pun. Kontrol tersebut milik Anda — itulah intinya, karena itu juga yang dapat Anda buktikan. Komponen yang berjalan di dalam jaringan Anda dan tidak memanggil siapa pun adalah argumen arsitektural, dan bagi kebanyakan tinjauan keamanan itu lebih berguna daripada sertifikat milik pihak ketiga.

Kesimpulan

Penampil PDF gratis memang berguna, dan kebanyakan dokumen yang ditangani orang tidak sensitif. Kegagalannya bukan karena tidak menggunakannya; melainkan menggunakannya tanpa mengetahui kategori file Anda.

Untuk dokumen biasa yang hanya perlu dibaca sekali, penampil yang tidak menyimpan apa pun adalah pilihan yang masuk akal — dan lebih aman daripada mengunduh file dan membukanya dengan apa pun yang terpasang. Doconut.app akan melakukan itu, gratis, tanpa akun, dan menghapusnya setelahnya.

Untuk apa pun yang berada di bawah kewajiban yang harus Anda pertahankan, pertahankan pemrosesan pada perangkat keras yang Anda kontrol.

Tindakan segera

Audit alur kerja PDF di organisasi Anda dan katalogkan alat gratis yang sudah digunakan — biasanya ada lebih banyak daripada yang diperkirakan.
Klasifikasikan jenis dokumen mana yang dapat pergi ke layanan yang dihosting sama sekali. Ini adalah keputusan kebijakan, bukan keputusan teknis.
Pindahkan sisanya ke dalam rumah, baik dengan Doconut SDK atau yang setara, dan pertahankan bukti yang akan diminta auditor Anda.