Escrito para equipes de segurança, e sobre nosso próprio produto tanto quanto o de qualquer outro.

Introdução

Este artigo é publicado no blog de um visualizador de documentos online gratuito. Vale a pena declarar isso na primeira linha, porque o gênero ao qual ele pertence — "os perigos ocultos das ferramentas gratuitas de PDF" — costuma ser um discurso de vendas vestindo um jaleco, e você deve ler este com isso em mente.

Então aqui está a divulgação desde o início. Doconut.app é um visualizador hospedado gratuito. Quando você o usa, seu PDF é enviado para nossos servidores, renderizado lá e excluído quando sua sessão de visualização termina. Tudo abaixo sobre os riscos estruturais de enviar um documento para a infraestrutura de outra pessoa também se aplica a nós. Não vamos argumentar o contrário; seremos específicos sobre o que fazemos e o que não fazemos, e deixaremos que você decida quais documentos pertencem aqui.

1. O risco é estrutural, não exótico

Os riscos interessantes não são zero-days. São as consequências ordinárias de o arquivo estar em algum lugar que você não controla.

O upload é real. Um visualizador hospedado precisa receber o documento para renderizá-lo. Qualquer pessoa que afirma um serviço hospedado onde "o arquivo nunca sai da sua máquina" está descrevendo ou uma ferramenta puramente client‑side ou descrevendo algo de forma imprecisa. No Doconut.app o upload ocorre via HTTPS, o que o protege em trânsito — e então o arquivo está em nossos servidores, porque precisa estar.

Retenção é uma promessa, não um mecanismo que você pode inspecionar. Dizemos que o arquivo é excluído quando a sessão termina. Isso é verdade, e você não pode verificar isso de fora. Este é o cerne do problema com todos os visualizadores gratuitos, incluindo este: você está estendendo confiança a uma organização com a qual não tem contrato.

Infraestrutura compartilhada é compartilhada. Um serviço público gratuito processa documentos de muitos clientes em uma infraestrutura comum. Isso representa um perfil de risco diferente do software que roda dentro da sua própria rede, independentemente de quão cuidadosamente ele seja operado.

Nenhum acordo significa nenhuma base legal. Se você lida com dados pessoais sob GDPR, ou PHI sob HIPAA, mover um arquivo para um processador sem Acordo de Processamento de Dados (DPA) ou Acordo de Associado de Negócios (BAA) em vigor é um problema no momento do upload — independentemente de algo ser violado ou não. Doconut.app não tem DPA nem BAA com você. Para material regulado, essa é a resposta completa, e nenhuma quantidade de criptografia a altera.

2. O que não fazemos

O gênero ao qual este artigo pertence tende a prometer tudo. Como o objetivo aqui é calibrar, a lista mais útil é a do que está ausente:

Sem certificações de segurança. Nenhum ISO 27001, nenhum SOC 2, nenhuma atestação HIPAA, nenhuma avaliação PCI DSS. Não para os sites gratuitos, e não para o SDK. Se o seu questionário de fornecedor solicitar um certificado, não o possuímos.
Sem registro de auditoria. Não há contas no Doconut.app, portanto não há nada a atribuir a um acesso e nenhum rastro para lhe entregar.
Sem remoção de metadados. Renderizamos o documento como ele está. Nomes de autores, histórico de revisões e comentários no arquivo permanecem no arquivo — o que vale a pena saber antes de encaminhar um contrato, embora esse risco pertença ao documento e não a nós.
Sem criptografia em repouso para mencionar. Não oferecemos armazenamento criptografado, porque não oferecemos armazenamento. Não manter algo é uma propriedade mais forte do que criptografá‑lo, mas é uma propriedade diferente, e os fornecedores confundem as duas.
Sem retenção configurável. O tempo é nosso. Não há configuração que você possa ajustar.

3. O que fazemos

O upload ocorre via HTTPS.
O documento é renderizado nos nossos servidores, e o navegador recebe páginas em vez do arquivo fonte.
Renderização não é execução: macros em um arquivo Office não são executadas, e ações de PDF não são disparadas. O visualizador desenha o documento.
O arquivo é excluído quando a sessão de visualização termina. Sem biblioteca, sem histórico, sem conta.
O uploader recusa o que não pode processar antes de enviar — uma lista fixa de mais de 70 extensões, com um limite de tamanho por formato de 5 MB a 25 MB.
DICOM é deliberadamente excluído. .dcm e .ima não são aceitos, precisamente porque um arquivo DICOM contém identificadores de pacientes junto à imagem e um endpoint público de upload não é o local adequado para isso.

4. Um teste que você pode aplicar a qualquer visualizador gratuito, incluindo este

Em vez de um inventário de ameaças, quatro perguntas que separam o utilizável do inutilizável:

Ele informa claramente se o arquivo é enviado? Se a resposta for vaga, assuma que ele é enviado.
Ele indica um período de retenção em termos específicos? “Excluído quando sua sessão termina” ou “removido após 60 minutos” são respostas. “Seus arquivos estão seguros conosco” não é.
Ele assinará um acordo? Para dados regulados, esta é a única pergunta que importa, e serviços gratuitos quase nunca o farão. Nós não o fazemos.
Ele reivindica certificações? Em caso afirmativo, solicite o certificado e seu escopo. Muitas reivindicações nessa categoria não resistem a essa solicitação.

Aplicado ao Doconut.app: sim, ele faz upload, sim, a exclusão ocorre ao final da sessão, não, não assinaremos um DPA, e não, não possuímos certificações. Essa combinação é adequada para muitos documentos e desqualifica alguns. O ponto é que você pode identificar qual é qual.

5. Quando um visualizador hospedado é a ferramenta errada

Se o documento está sujeito a um regime de conformidade, coberto por uma obrigação de confidencialidade do cliente, ou simplesmente algo que você não se sentiria confortável em explicar em uma revisão de incidente, nenhum visualizador hospedado gratuito é a resposta correta — o nosso incluído. A solução estrutural é manter a renderização dentro da sua própria rede.

É para isso que serve o SDK Doconut: o mesmo motor de renderização .NET deste site, instalado no seu próprio ambiente. Ele renderiza nos seus servidores e não faz chamadas para nós, de modo que o documento nunca cruza uma fronteira que você ainda não avaliou.

Seja igualmente claro sobre o que o SDK não é. Ele não fornece criptografia em repouso, gerenciamento de chaves, integração com provedor de identidade ou registro de auditoria, e não pode tornar sua aplicação compatível com nada. Esses controles são seus — e esse é o ponto, porque são também os que você já pode comprovar. Um componente que roda dentro da sua rede e não chama ninguém é um argumento arquitetural, e para a maioria das revisões de segurança é mais útil do que um certificado de terceiros.

Conclusão

Visualizadores de PDF gratuitos são realmente úteis, e a maioria dos documentos que as pessoas lidam não são sensíveis. O erro não é usar um; é usá‑lo sem saber em que categoria seu arquivo se enquadra.

Para um documento comum que você precisa ler uma única vez, um visualizador que não guarda nada é uma escolha razoável — e mais segura do que baixar o arquivo e abri‑lo em qualquer programa instalado. O Doconut.app faz isso, gratuitamente, sem necessidade de conta, e o exclui depois.

Para qualquer coisa sob uma obrigação que você teria que defender, mantenha o processamento em hardware que você controla.

Ações imediatas

Audite os fluxos de trabalho de PDF na sua organização e catalogue as ferramentas gratuitas já em uso — geralmente há mais do que se espera.
Classifique quais tipos de documentos podem ser enviados para um serviço hospedado. Isso é uma decisão de política, não técnica.
Mova o restante internamente, seja com o SDK Doconut ou equivalente, e mantenha as evidências que seus auditores solicitarão.