Конфиденциальность файлов

Специализированные PDF-инструменты

Большинство инструментов в /pdf/ обрабатывают выбранный PDF полностью в браузере; сервер приложения раздаёт статический код и не имеет endpoint для загрузки PDF. «Подписать PDF» и «Заполнить PDF-форму» — явно обозначенные исключения: после одноразовой передачи через браузер в пределах того же origin файл открывается в полном PDF-редакторе FileCarpenter и отправляется во временную сессию редактора, чтобы поставить подпись с помощью механизма подписи редактора или обновить настоящие поля AcroForm и проверить сохранность структуры. Копия handoff в IndexedDB удаляется до использования редактором.

Полный PDF-редактор

Во время активной сессии PDF-редактор отправляет выбранный документ на сервер приложения FileCarpenter. Серверная обработка используется для проверки структуры, поддерживаемых изменений и валидированного экспорта. Данные сессии временные и истекают после периода бездействия. Не обрабатывайте документы, с которыми у вас нет права работать.

Одноранговая передача и Умная отправка

Инструмент передачи использует WebRTC для перемещения байтов файла между связанными браузерами. Signaling-сервис знакомит устройства и передаёт сведения для соединения. Если прямой маршрут недоступен, TURN-ретранслятор может переносить зашифрованный WebRTC-трафик, но FileCarpenter не хранит передаваемый файл как постоянный загруженный объект.

«Умная отправка» анализирует выбранный медиафайл на устройстве отправителя и через WebRTC DataChannel получает небольшой временный профиль возможностей браузера получателя. Профиль использует широкие категории: семейство платформы/браузера, класс экрана, поддержку кодеков и изображений, API сохранения, а также приблизительные классы хранилища и сети браузера. Он не передаёт точное число CPU, точные размеры экрана, devicePixelRatio, полный аппаратный fingerprint или точное количество свободных байтов на диске. Копии изображений создаются у отправителя, а поставляемый сервер не сохраняет профили возможностей.

Учётные записи, реклама и аналитика

Поставляемая конфигурация не требует пользовательской учётной записи и не включает рекламу или сторонние аналитические скрипты. Если оператор позже добавит аналитику, рекламу, дополнительное журналирование или другой внешний сервис, это уведомление следует обновить до ввода изменения в эксплуатацию.

Операционные журналы

Веб-серверы и reverse proxy могут хранить короткие операционные журналы с временем запроса, запрошенным URL, сведениями о браузере и сетевым адресом. Настройте срок хранения на VPS в соответствии с политикой оператора и никогда не записывайте пароли комнат или содержимое PDF в access logs.