Skrivet för säkerhetsteam och om vår egen produkt lika mycket som någon annans.

Introduktion

Denna artikel publiceras på bloggen för en gratis online‑dokumentvisare. Det är värt att ange i första meningen, eftersom genren den tillhör — ”de dolda farorna med gratis PDF‑verktyg” — vanligtvis är ett försäljningsargument i labbrock, och du bör läsa den här med detta i åtanke.

Så här är förklaringen i förväg. Doconut.app är en gratis hostad visare. När du använder den laddas din PDF upp till våra servrar, renderas där och raderas när din visningssession avslutas. Allt nedan om de strukturella riskerna med att ladda upp ett dokument till någon annans infrastruktur gäller även för oss. Vi kommer inte att argumentera annorlunda; vi kommer att vara specifika om vad vi gör och inte gör, och låta dig avgöra vilka dokument som hör hit.

1. Risken är strukturell, inte exotisk

De intressanta riskerna är inte nolldagar. De är de vanliga konsekvenserna av att filen befinner sig någonstans du inte kontrollerar.

Uppladdningen är verklig. En hostad visare måste ta emot dokumentet för att kunna rendera det. Den som påstår en hostad tjänst där “filen aldrig lämnar din maskin” beskriver antingen ett rent klient‑sidigt verktyg eller beskriver något felaktigt. På Doconut.app sker uppladdningen via HTTPS, vilket skyddar den under överföringen — och sedan finns filen på våra servrar, eftersom den måste vara där.

Retention är ett löfte, inte en mekanism du kan inspektera. Vi säger att filen raderas när sessionen avslutas. Det är sant, och du kan inte verifiera det utifrån. Detta är kärnan i problemet med varje gratis visare, inklusive denna: du utökar förtroendet till en organisation du inte har något avtal med.

Delad infrastruktur är delad. En gratis offentlig tjänst behandlar många kunders dokument på gemensam infrastruktur. Det är en annan riskprofil än mjukvara som körs inom ditt eget nätverk, oavsett hur noggrant den hanteras.

Ingen överenskommelse betyder ingen juridisk grund. Om du hanterar personuppgifter enligt GDPR, eller PHI enligt HIPAA, är det ett problem att flytta en fil till en processor utan ett databehandlingsavtal eller affärspartneravtal i kraft redan vid uppladdningstillfället — oavsett om något någonsin bryts. Doconut.app har ingen DPA och ingen BAA med dig. För reglerat material är det hela svaret, och ingen mängd kryptering förändrar det.

2. Vad vi inte gör

Genren som den här artikeln tillhör tenderar att lova allt. Eftersom poängen här är kalibrering är den mer användbara listan det som saknas:

Inga säkerhetscertifieringar. Ingen ISO 27001, ingen SOC 2, ingen HIPAA‑attestering, ingen PCI DSS‑bedömning. Inte för de gratis webbplatserna, och inte för SDK:n. Om ditt leverantörsfrågeformulär begär ett certifikat, har vi inget.
Ingen revisionslogg. Det finns inga konton på Doconut.app, så det finns inget att tillskriva en åtkomst till och ingen spårning att ge dig.
Ingen metadata‑rengöring. Vi renderar dokumentet som det är. Författarnamn, revisionshistorik och kommentarer i filen förblir i filen — vilket är bra att veta innan du vidarebefordrar ett kontrakt, även om den risken tillhör dokumentet snarare än oss.
Ingen kryptering i vila att tala om. Vi erbjuder ingen krypterad lagring, eftersom vi inte erbjuder lagring. Att inte behålla något är en starkare egenskap än att kryptera det, men det är en annan egenskap, och leverantörer suddar ut skillnaden.
Ingen konfigurerbar retention. Tidsinställningen är vår. Det finns ingen inställning för dig att justera.

3. Vad vi gör

Uppladdningen sker via HTTPS.
Dokumentet renderas på våra servrar, och webbläsaren får sidor istället för källfilen.
Rendering är inte exekvering: makron i en Office‑fil körs inte, och PDF‑åtgärder triggas inte. Visaren ritar dokumentet.
Filen raderas när visningssessionen avslutas. Inget bibliotek, ingen historik, inget konto.
Uppladdaren avvisar det den inte kan hantera innan den skickas — en fast lista med över 70 tillägg, med en storleksgräns per format från 5 MB till 25 MB.
DICOM är avsiktligt uteslutet. .dcm och .ima accepteras inte, just för att en DICOM‑fil innehåller patientidentifierare tillsammans med bilden och en offentlig uppladdnings‑endpoint är fel plats för det.

4. Ett test du kan tillämpa på vilken gratisvisare som helst, inklusive denna

Istället för en hotinventering, fyra frågor som skiljer det användbara från det oanvändbara:

Säger den tydligt om filen laddas upp? Om svaret är vagt, anta att den laddas upp.
Anger den en lagringsperiod i konkreta termer? ”Raderas när din session avslutas” eller ”tas bort efter 60 minuter” är svar. ”Dina filer är säkra hos oss” är inte.
Kommer den att underteckna ett avtal? För reglerad data är detta den enda frågan som spelar roll, och gratis tjänster gör nästan aldrig det. Vi gör det inte.
Påstår den certifieringar? Om så är fallet, be om certifikatet och dess omfattning. Många påståenden i denna kategori klarar inte av den begäran.

Tillämpat på Doconut.app: ja, den laddar upp, ja, raderingen sker vid sessionens slut, nej, vi kommer inte att underteckna ett DPA, och nej, vi har inga certifieringar. Den kombinationen är acceptabel för många dokument men diskvalificerande för vissa. Poängen är att du kan avgöra vad som gäller.

5. När en hostad visare är fel verktyg

Om dokumentet omfattas av ett efterlevnadsregime, täcks av en kundsekretessförpliktelse, eller helt enkelt är något du inte skulle känna dig bekväm med att förklara i en incidentgranskning, är ingen gratis hostad visare rätt svar — vår inkluderad. Den strukturella lösningen är att hålla renderingen inom ditt eget nätverk.

Det är vad Doconut SDK är till för: samma .NET‑renderingsmotor som ligger bakom den här sidan, installerad i din egen miljö. Den renderar på dina servrar och gör inga anrop till oss, så dokumentet korsar aldrig en gräns du inte redan har bedömt.

Var lika tydlig med vad SDK:n inte är. Den levererar inte kryptering i vila, nyckelhantering, integration med en identitetsleverantör eller en audit‑logg, och den kan inte göra din applikation efterlevande av något. De kontrollerna är dina — vilket är poängen, eftersom de också är de du redan kan bevisa. En komponent som körs inom ditt nätverk och inte anropar någon är ett arkitektoniskt argument, och för de flesta säkerhetsgranskningar är det ett mer användbart än ett certifikat som tillhör en tredje part.

Slutsats

Gratis PDF‑visare är faktiskt användbara, och de flesta dokument som de flesta hanterar är inte känsliga. Misslyckandet är inte att använda en; det är att använda en utan att veta vilken kategori din fil tillhör.

För ett vanligt dokument som du bara behöver läsa en gång är en visare som inte sparar något ett rimligt val — och säkrare än att ladda ner filen och öppna den i vad som än är installerat. Doconut.app gör det, gratis, utan konto, och raderar den efteråt.

För allt som omfattas av en förpliktelse du måste försvara, håll bearbetningen på hårdvara du kontrollerar.

Omedelbara åtgärder

Granska PDF‑arbetsflödena i din organisation och katalogisera de gratisverktyg som redan används — det finns vanligtvis fler än någon förväntar sig.
Klassificera vilka dokumenttyper som alls kan gå till en hostad tjänst. Detta är ett policybeslut, inte ett tekniskt.
Flytta resten internt, antingen med Doconut SDK eller ett motsvarande, och behåll bevisen som dina revisorer kommer att begära.