Scritto per i team di sicurezza, e sul nostro prodotto tanto quanto su quello di chiunque altro.

Introduzione

Questo articolo è pubblicato sul blog di un visualizzatore di documenti online gratuito. Vale la pena specificarlo nella prima riga, perché il genere a cui appartiene — “i pericoli nascosti degli strumenti PDF gratuiti” — è solitamente un discorso di vendita con il camice da laboratorio, e dovresti leggere questo con quella consapevolezza.

Quindi ecco la dichiarazione preliminare. Doconut.app è un visualizzatore ospitato gratuito. Quando lo usi, il tuo PDF viene caricato sui nostri server, renderizzato lì e cancellato al termine della tua sessione di visualizzazione. Tutto quanto segue sui rischi strutturali del caricamento di un documento sull'infrastruttura di qualcun altro si applica anche a noi. Non intendiamo dibattere diversamente; saremo specifici su ciò che facciamo e non facciamo, e ti lasceremo decidere quali documenti appartengono qui.

1. Il rischio è strutturale, non esotico

I rischi interessanti non sono zero‑day. Sono le conseguenze ordinarie del file che si trova in un luogo che non controlli.

Il caricamento è reale. Un visualizzatore ospitato deve ricevere il documento per poterlo renderizzare. Chi afferma che un servizio ospitato dove “il file non lascia mai la tua macchina” sta descrivendo o uno strumento puramente client‑side o qualcosa di inaccurato. Su Doconut.app il caricamento avviene tramite HTTPS, che lo protegge durante il transito — e poi il file è sui nostri server, perché è necessario.

La conservazione è una promessa, non un meccanismo che puoi ispezionare. Diciamo che il file viene cancellato al termine della sessione. È vero, e non puoi verificarlo dall’esterno. Questo è il nocciolo del problema con ogni visualizzatore gratuito, incluso questo: stai estendendo la fiducia a un’organizzazione con cui non hai alcun contratto.

L'infrastruttura condivisa è condivisa. Un servizio pubblico gratuito elabora i documenti di molti clienti su un'infrastruttura comune. Questo rappresenta una postura di rischio diversa rispetto a un software che gira all'interno della tua rete, indipendentemente da quanto sia gestito con attenzione.

Nessun accordo significa nessuna base legale. Se gestisci dati personali secondo il GDPR, o PHI secondo l'HIPAA, spostare un file a un processore senza Data Processing Agreement o Business Associate Agreement è un problema al momento del caricamento — indipendentemente dal fatto che qualcosa venga violato o meno. Doconut.app non ha alcun DPA né BAA con te. Per i materiali regolamentati, questa è l'intera risposta, e nessuna quantità di crittografia la modifica.

2. Cosa non facciamo

Il genere a cui appartiene questo articolo tende a promettere tutto. Poiché il punto qui è la calibrazione, la lista più utile è quella di ciò che manca:

Nessuna certificazione di sicurezza. Nessun ISO 27001, nessun SOC 2, nessuna attestazione HIPAA, nessuna valutazione PCI DSS. Non per i siti gratuiti, e non per l'SDK. Se il tuo questionario per fornitori richiede un certificato, non ne abbiamo uno.
Nessun registro di audit. Non ci sono account su Doconut.app, quindi non c'è nulla a cui attribuire un accesso e nessuna traccia da consegnarti.
Nessuna rimozione dei metadati. Renderizziamo il documento così com'è. I nomi degli autori, la cronologia delle revisioni e i commenti nel file rimangono nel file — cosa utile da sapere prima di inoltrare un contratto, anche se quel rischio appartiene al documento più che a noi.
Nessuna crittografia a riposo di cui parlare. Non offriamo archiviazione crittografata, perché non offriamo archiviazione. Non conservare qualcosa è una proprietà più forte della crittografia, ma è una proprietà diversa, e i fornitori confondono le due.
Nessuna conservazione configurabile. Il timing è nostro. Non c'è alcuna impostazione che tu possa regolare.

3. Cosa facciamo

L'upload avviene tramite HTTPS.
Il documento viene renderizzato sui nostri server, e il browser riceve pagine anziché il file sorgente.
Il rendering non è esecuzione: le macro in un file Office non vengono eseguite, e le azioni PDF non vengono attivate. Il visualizzatore disegna il documento.
Il file viene cancellato al termine della sessione di visualizzazione. Nessuna libreria, nessuna cronologia, nessun account.
Il caricatore rifiuta ciò che non può gestire prima dell'invio — un elenco fisso di oltre 70 estensioni, con un limite di dimensione per formato da 5 MB a 25 MB.
DICOM è deliberatamente escluso. .dcm e .ima non sono accettati, proprio perché un file DICOM contiene identificatori del paziente insieme all'immagine e un endpoint pubblico di upload è il luogo sbagliato per esso.

4. Un test che puoi applicare a qualsiasi visualizzatore gratuito, incluso questo

Invece di un inventario delle minacce, quattro domande che distinguono il praticabile dall'inutilizzabile:

Indica chiaramente se il file viene caricato? Se la risposta è vaga, presumilo caricato.
Indica un periodo di conservazione in termini specifici? “Cancellato al termine della tua sessione” o “rimosso dopo 60 minuti” sono risposte. “I tuoi file sono al sicuro con noi” non lo è.
Firma un accordo? Per i dati regolamentati questa è l'unica domanda che conta, e i servizi gratuiti quasi mai lo faranno. Noi non lo facciamo.
Rivendica certificazioni? Se sì, chiedi il certificato e il suo ambito. Molte affermazioni in questa categoria non resistono a tale richiesta.

Applicato a Doconut.app: sì, carica, sì, la cancellazione avviene al termine della sessione, no, non firmeremo un DPA, e no, non possediamo certificazioni. Questa combinazione è adeguata per molti documenti e squalificante per altri. Il punto è che puoi distinguere quale sia quale.

5. Quando un visualizzatore ospitato è lo strumento sbagliato

Se il documento è soggetto a un regime di conformità, coperto da un obbligo di riservatezza del cliente, o semplicemente qualcosa che non saresti a tuo agio a spiegare in una revisione di incidente, nessun visualizzatore ospitato gratuito è la risposta giusta — compreso il nostro. La soluzione strutturale è mantenere il rendering all'interno della tua rete.

È a questo scopo che serve il Doconut SDK: lo stesso motore di rendering .NET dietro questo sito, installato nel tuo ambiente. Esegue il rendering sui tuoi server e non effettua chiamate verso di noi, così il documento non attraversa mai un confine che non hai già valutato.

Sii altrettanto chiaro su ciò che l'SDK non è. Non fornisce crittografia a riposo, gestione delle chiavi, integrazione con un provider di identità o un registro di audit, e non può rendere la tua applicazione conforme a nulla. Questi controlli sono tuoi — ed è questo il punto, perché sono anche quelli che puoi già dimostrare. Un componente che gira all'interno della tua rete e non chiama nessuno è un argomento architetturale, e per la maggior parte delle revisioni di sicurezza è più utile di un certificato appartenente a una terza parte.

Conclusione

I visualizzatori PDF gratuiti sono davvero utili, e la maggior parte dei documenti che le persone gestiscono non è sensibile. L'errore non è usarne uno; è usarne uno senza sapere a quale categoria appartiene il tuo file.

Per un documento ordinario da leggere una sola volta, un visualizzatore che non conserva nulla è una scelta ragionevole — e più sicura rispetto al download del file e all'apertura con qualsiasi programma installato. Doconut.app lo farà, gratuitamente, senza account, e lo cancellerà successivamente.

Per qualsiasi cosa soggetta a un obbligo che dovresti difendere, mantieni l'elaborazione su hardware che controlli.

Azioni immediate

Audit i flussi PDF nella tua organizzazione e cataloghi gli strumenti gratuiti già in uso — di solito ce ne sono più di quanto ci si aspetti.
Classifica quali tipi di documento possono andare a un servizio ospitato. Questa è una decisione di politica, non tecnica.
Sposta il resto internamente, sia con il Doconut SDK sia con un equivalente, e conserva le prove che i tuoi auditor richiederanno.