Написано для команд безпеки, і про наш власний продукт так само, як і про будь‑який інший.

Вступ

Ця стаття опублікована в блозі безкоштовного онлайн‑переглядача документів. Це варто зазначити у першому рядку, бо жанр, до якого вона належить — «приховані небезпеки безкоштовних інструментів PDF» — зазвичай є рекламною пропозицією у лабораторному халаті, і ви повинні читати її, маючи це на увазі.

Отже, ось розкриття одразу. Doconut.app — це безкоштовний хостований переглядач. Коли ви його використовуєте, ваш PDF завантажується на наші сервери, рендериться там і видаляється, коли завершується ваша сесія перегляду. Все, що нижче, про структурні ризики завантаження документа в інфраструктуру іншої особи, стосується і нас. Ми не будемо сперечатися інакше; ми будемо конкретними щодо того, що ми робимо і чого не робимо, і дозволимо вам вирішити, які документи підходять сюди.

1. Ризик є структурним, а не екзотичним

Цікавими ризиками не є zero‑day уразливості. Це звичайні наслідки того, що файл знаходиться в місці, яким ви не керуєте.

Завантаження реальне. Хостований переглядач повинен отримати документ, щоб його відобразити. Хто‑небудь, хто стверджує, що хостована служба «файл ніколи не залишає вашого комп’ютера», або описує чисто клієнтський інструмент, або описує щось неточно. На Doconut.app завантаження відбувається через HTTPS, що захищає його під час передачі — а потім файл знаходиться на наших серверах, бо це необхідно.

Збереження — це обіцянка, а не механізм, який ви можете перевірити. Ми говоримо, що файл видаляється, коли сесія завершується. Це правда, і ви не можете це підтвердити зовні. Це сутність проблеми з кожним безкоштовним переглядачем, включаючи цей: ви довіряєте організації, з якою у вас немає контракту.

Спільна інфраструктура — це спільна інфраструктура. Безкоштовна публічна служба обробляє документи багатьох клієнтів на спільній інфраструктурі. Це інша позиція ризику, ніж програмне забезпечення, що працює у вашій власній мережі, незалежно від того, наскільки ретельно його експлуатується.

Відсутність угоди означає відсутність правової підстави. Якщо ви обробляєте персональні дані згідно GDPR або PHI згідно HIPAA, переміщення файлу до процесора без Угоди про обробку даних (DPA) або Угоди про співпрацю (BAA) є проблемою в момент завантаження — незалежно від того, чи буде порушення. Doconut.app не має DPA і не має BAA з вами. Для регульованих матеріалів це повна відповідь, і жодна кількість шифрування цього не змінить.

2. Чого ми не робимо

Жанр, до якого належить ця стаття, схильний обіцяти все. Оскільки мета тут — калібрування, більш корисний список — це те, чого немає:

Немає сертифікацій безпеки. Ні ISO 27001, ні SOC 2, ні атестації HIPAA, ні оцінки PCI DSS. Не для безкоштовних сайтів, і не для SDK. Якщо ваш опитувальник постачальника запитує сертифікат, у нас його немає.
Немає журналу аудиту. На Doconut.app немає облікових записів, тому немає чого прив’язати доступ і немає сліду, який можна передати вам.
Не видаляємо метадані. Ми рендеримо документ у його початковому вигляді. Імена авторів, історія версій та коментарі у файлі залишаються у файлі — це варто знати перед тим, як пересилати контракт, хоча цей ризик належить документу, а не нам.
Немає шифрування в спокої, про яке можна говорити. Ми не пропонуємо зашифроване сховище, бо не пропонуємо сховище. Не зберігати щось — це сильніша властивість, ніж шифрування, але це інша властивість, і постачальники їх змішують.
Немає налаштовуваного збереження. Час визначений нами. Немає налаштування, яке ви могли б змінити.

3. Що ми робимо

Завантаження відбувається через HTTPS.
Документ рендериться на наших серверах, і браузер отримує сторінки, а не вихідний файл.
Рендеринг не є виконанням: макроси в Office‑файлі не виконуються, а дії PDF не запускаються. Переглядач лише відображає документ.
Файл видаляється після завершення сеансу перегляду. Ні бібліотеки, ні історії, ні облікового запису.
Завантажувач відхиляє те, що не може обробити перед відправкою — фіксований список понад 70 розширень, з обмеженням розміру для кожного формату від 5 МБ до 25 МБ.
DICOM навмисно виключено. Файли .dcm та .ima не приймаються, саме тому, що DICOM‑файл містить ідентифікатори пацієнтів разом із зображенням, і публічний кінцевий пункт завантаження — неправильне місце для цього.

4. Тест, який ви можете застосувати до будь‑якого безкоштовного переглядача, включаючи цей

Замість інвентаризації загроз, чотири питання, які розрізняють придатне від непридатного:

Чи вказано чітко, чи файл завантажується? Якщо відповідь нечітка, вважайте, що файл завантажується.
Чи зазначено період зберігання у конкретних термінах? Відповідями можуть бути «Видалено після завершення вашого сеансу» або «видалено через 60 хвилин». «Ваші файли в безпеці у нас» — не підходить.
Чи підпишеться він на угоду? Для регульованих даних це єдине важливе питання, і безкоштовні сервіси майже ніколи цього не роблять. Ми — ні.
Чи стверджує він про наявність сертифікатів? Якщо так, попросіть надати сертифікат і його область застосування. Багато таких заяв не витримують такої перевірки.

Застосовано до Doconut.app: так, він завантажує файли, так, видалення відбувається в кінці сеансу, ні, ми не підпишемо DPA, і ні, у нас немає сертифікатів. Така комбінація підходить для більшості документів, але не підходить для деяких. Суть у тому, що ви можете розрізнити, що що.

5. Коли розміщений переглядач — неправильний інструмент

Якщо документ підлягає режиму відповідності, покритий зобов’язанням конфіденційності клієнта або просто є таким, про який ви не хотіли б пояснювати у звіті про інцидент, жоден безкоштовний розміщений переглядач не є правильним рішенням — включаючи наш. Структурне рішення — залишити рендеринг у вашій власній мережі.

Саме для цього потрібен Doconut SDK: той самий .NET‑двигун рендерингу, який працює на цьому сайті, встановлений у вашому середовищі. Він рендерить на ваших серверах і не робить запитів до нас, тому документ ніколи не перетинає межу, яку ви ще не оцінили.

Будьте також чіткі щодо того, чим SDK НЕ є. Він не включає шифрування даних у спокої, управління ключами, інтеграцію з провайдером ідентифікації чи журнал аудиту, і не може зробити ваш застосунок відповідним до будь‑яких вимог. Ці контролі — ваші, і саме в цьому суть, бо саме їх ви вже можете продемонструвати. Компонент, який працює у вашій мережі і не викликає нікого, — це архітектурний аргумент, і для більшості оглядів безпеки він корисніший, ніж сертифікат сторонньої організації.

Висновок

Безкоштовні PDF‑переглядачі дійсно корисні, і більшість документів, якими користуються люди, не є конфіденційними. Проблема не в тому, що ви їх використовуєте; а в тому, що ви користуєтеся ними, не знаючи, до якої категорії належить ваш файл.

Для звичайного документа, який потрібно прочитати один раз, переглядач, що нічого не зберігає, — розумний вибір і безпечніший, ніж завантажувати файл і відкривати його в будь‑якій встановленій програмі. Doconut.app робить це безкоштовно, без облікового запису, і видаляє файл після перегляду.

У випадку будь‑якого документу, що підпадає під зобов’язання, яке ви маєте захищати, тримайте обробку на обладнанні, яким ви керуєте.

Негайні дії

Аудит PDF‑процесів у вашій організації та каталогізація вже використовуваних безкоштовних інструментів — зазвичай їх більше, ніж очікує більшість.
Класифікація типів документів, які можуть бути передані до розміщеного сервісу. Це політичне рішення, а не технічне.
Перенесіть решту внутрішньо, використовуючи Doconut SDK або аналог, і зберігайте докази, які запитуватимуть ваші аудитори.