Cada ferramenta PDF baseada em navegador que processa arquivos no servidor armazena temporariamente seu documento em sua infraestrutura. A questão não é se o arquivo toca um servidor. É o que acontece entre o momento em que o upload é concluído e o momento em que o arquivo é excluído. Uma ferramenta confiável minimiza essa janela, criptografa o arquivo em repouso, restringe o acesso dos funcionários e exclui o arquivo automaticamente. Um não confiável trata seus documentos carregados como um recurso a ser explorado.
A confiança não é binária. É uma série de afirmações específicas e verificáveis sobre como os dados são tratados.
Avaliar a confiabilidade de uma ferramenta PDF significa examinar sua arquitetura de segurança, política de privacidade, certificações de tratamento de dados e relatórios de auditoria de terceiros. A estrutura PDF Security de WukongPDF prioriza a proteção dos dados do usuário, e entender o que procurar na postura de segurança de qualquer ferramenta ajuda você a decidir quais documentos você pode processar com segurança por meio de quais serviços. Compartilhamento de PDF por meio de canais confiáveis começa com a confiança no próprio canal.
A base de segurança mínima para qualquer ferramenta PDF
Cada ferramenta PDF que lida com arquivos carregados deve atender a uma linha de base que não é negociável. Os arquivos devem ser criptografados em trânsito usando TLS 1.2 ou superior, a mesma criptografia que protege os serviços bancários online. Os arquivos em repouso no servidor devem ser criptografados usando AES-256 ou equivalente. O serviço deve ter uma política de retenção de dados declarada publicamente com prazos específicos, e não com linguagem vaga. E a empresa deve ter um processo para responder a vulnerabilidades de segurança, normalmente demonstrado por um e-mail de contato de segurança ou um programa de recompensa por bugs.
Uma ferramenta na qual falta algum desses elementos não é necessariamente maliciosa. Pode ser simplesmente um produto em fase inicial que não investiu em infra-estruturas de segurança. A questão é se você se sente confortável em ser a pessoa que descobre isso ao ter seus documentos expostos. Para documentos não confidenciais, uma ferramenta em estágio inicial, sem todos os recursos de segurança, pode ser um risco aceitável. Para qualquer documento que contenha dados pessoais, informações financeiras ou conteúdo comercial confidencial, opte por serviços que atendam à linha de base completa.
Experimente proteger PDF
Nenhuma instalação necessária. Funciona diretamente no seu navegador.
Criptografia em repouso: contra o que ela realmente protege
Criptografia em repouso significa que o arquivo é armazenado no disco rígido do servidor de forma criptografada. Se alguém roubar fisicamente o servidor, sair do data center com um disco rígido debaixo do braço ou descartar indevidamente uma unidade desativada sem apagá-la, os dados criptografados ficarão ilegíveis. Esta proteção é importante para a segurança dos dados a longo prazo, mas não é a ameaça mais relevante para a maioria dos usuários de ferramentas PDF.
A ameaça mais relevante é o acesso não autorizado ao servidor em execução por um invasor que explora uma vulnerabilidade de software ou por um insider mal-intencionado com credenciais de servidor legítimas. A criptografia em repouso não protege contra nenhuma dessas ameaças porque o servidor descriptografa os arquivos na memória para processá-los. O invasor que tem acesso ao servidor em execução vê o arquivo descriptografado na memória. A proteção contra essas ameaças requer controles de acesso, registros de auditoria e detecção de invasões, medidas de segurança que são mais difíceis de verificar fora da empresa. Certificações de segurança de terceiros, como SOC 2, fornecem verificação independente de que esses controles existem e são testados regularmente.
Auditorias e certificações de terceiros importantes
A certificação SOC 2 Tipo II significa que um auditor independente verificou que os controles de segurança da empresa foram projetados adequadamente e operam de forma eficaz ao longo do tempo. A designação Tipo II é importante: o Tipo I verifica se os controles existem em um determinado momento. O Tipo II verifica se eles trabalharam continuamente durante um período de monitoramento, normalmente de 6 a 12 meses. A certificação ISO 27001 indica que a empresa mantém um sistema abrangente de gestão de segurança da informação. Ambas as certificações exigem auditorias de renovação anuais.
A ausência dessas certificações não significa que a empresa seja insegura. O processo de certificação custa dezenas de milhares de dólares e leva meses, o que muitas vezes é proibitivo para startups e pequenas empresas. Uma pequena empresa de ferramentas PDF pode ter excelentes práticas de segurança documentadas em uma página de segurança transparente, sem certificação formal. Leia a documentação de segurança como se o ônus da prova recaísse sobre eles. Uma página de segurança detalhada e específica abordando criptografia, controles de acesso, retenção e resposta a incidentes é mais confiável do que uma política de privacidade genérica e um selo ISO. A especificidade sinaliza que alguém na empresa pensou cuidadosamente sobre segurança. A linguagem vaga sinaliza que a segurança é uma caixa a ser verificada e não uma prática a ser implementada.
| Elemento de segurança | O que procurar | Bandeira Vermelha |
|---|---|---|
| Criptografia de trânsito | TLS 1.2 ou 1.3, HTTPS aplicado | HTTP disponível, avisos de conteúdo misto |
| Criptografia em repouso | AES-256, declarado em documentos de segurança | Não mencionado na política ou documentação |
| Retenção de dados | Horário específico (1-24), exclusão automática | Indefinido, conforme necessário ou não especificado |
| Controle de acesso | Nenhum acesso de funcionário ao conteúdo do arquivo foi declarado | Pode acessar para melhoria de serviço ou similar |
| Auditoria de terceiros | SOC 2 Tipo II, ISO 27001 | Sem certificações e sem página de segurança detalhada |
Processamento do lado do cliente: a alternativa sem confiança
Várias ferramentas PDF baseadas em navegador agora processam arquivos inteiramente no navegador usando WebAssembly, sem nunca enviar o arquivo para um servidor. A biblioteca de processamento de PDF é compilada no WebAssembly e executada na sandbox JavaScript do navegador. O arquivo é lido na memória do navegador, processado localmente e a saída é gravada diretamente no disco. Nenhum servidor jamais vê o arquivo. Essa arquitetura elimina totalmente a questão da confiança porque não há armazenamento no servidor em que confiar ou desconfiar.
O processamento do lado do cliente tem limitações. É mais lento que o processamento no lado do servidor porque o ambiente do navegador é menos otimizado que um aplicativo nativo. A memória é limitada ao que a guia do navegador pode alocar, normalmente de 1 a 2 GB, o que limita o tamanho máximo do arquivo. E as operações disponíveis são limitadas pelo que as bibliotecas PDF compiladas pelo WebAssembly podem fazer. Para operações de rotina em arquivos com menos de 100 MB, o processamento do lado do cliente oferece privacidade máxima com desempenho aceitável. Para arquivos grandes ou operações complexas, o processamento no servidor com um provedor confiável é a escolha prática.
O que fazer quando você não consegue verificar a confiança
Para qualquer PDF contendo informações que você não gostaria que aparecesse na primeira página de um jornal, não carregue-o em uma ferramenta cujas práticas de segurança você não possa verificar. Use uma ferramenta de PDF para desktop que processe arquivos localmente. O pequeno inconveniente de instalar e iniciar um aplicativo de desktop é o preço da certeza de que seus dados permanecerão em sua máquina. As ferramentas de desktop têm suas próprias considerações de segurança, principalmente em relação aos mecanismos de atualização automática e telemetria, mas o conteúdo principal do PDF nunca sai do seu dispositivo.
Para trabalhos rotineiros e não confidenciais em PDF, uma ferramenta não verificada com uma política de privacidade que pareça razoável provavelmente será adequada. Os incentivos económicos para uma empresa de ferramentas PDF explorar documentos de utilizadores individuais são fracos: os dados não são estruturados, o conteúdo é heterogéneo e os danos à reputação de serem apanhados excedem em muito qualquer valor extraível dos dados. O risco não é que a empresa seja ativamente maliciosa. Acontece que eles são negligentes, armazenando arquivos em um bucket S3 inseguro ou registrando-os em um servidor não monitorado, e uma violação expõe documentos que eles não precisavam reter. Insistir em períodos de retenção curtos e na exclusão automática protege tanto contra a negligência quanto contra a malícia.
Experimente proteger PDF
Nenhuma instalação necessária. Funciona diretamente no seu navegador.