每个在服务器端处理文件的基于浏览器的 PDF 工具都将您的文档临时存储在其基础设施上。问题不在于文件是否触及服务器。这是从上传完成到文件被删除之间发生的事情。值得信赖的工具会最小化该窗口、加密静态文件、限制员工访问并自动删除文件。不值得信任的人会将您上传的文档视为待挖掘的资源。
信任不是二元的。它是关于如何处理数据的一系列具体的、可验证的声明。
评估 PDF 工具的可信度意味着检查其安全架构、隐私政策、数据处理认证和第三方审核报告。 WukongPDF 的PDF 安全 框架优先考虑用户数据保护，了解在任何工具的安全状况中要寻找的内容可帮助您决定可以通过哪些服务安全地处理哪些文档。通过可信渠道进行PDF 共享 首先要信任渠道本身。
任何 PDF 工具的最低安全基线
每个处理上传文件的 PDF 工具都应该满足一个不可协商的基准。文件在传输过程中必须使用 TLS 1.2 或更高版本进行加密，这与保护在线银行的加密方式相同。服务器上的静态文件必须使用 AES-256 或等效方法进行加密。该服务必须有公开声明的数据保留政策，并有具体的时间范围，而不是含糊的语言。公司必须有一个响应安全漏洞的流程，通常通过安全联系电子邮件或错误赏金计划来证明。
缺少任何这些元素的工具不一定是恶意的。它可能只是一个尚未投资安全基础设施的早期产品。问题是你是否愿意成为通过暴露你的文件而发现这一点的人。对于非敏感文档，没有所有安全功能的早期工具可能是可接受的风险。对于任何包含个人数据、财务信息或机密业务内容的文档，请坚持使用满足完整基准的服务。
静态加密：它实际上可以防止什么
静态加密意味着文件以加密形式存储在服务器的硬盘驱动器上。如果有人物理窃取服务器、腋下夹着硬盘走出数据中心，或者在未擦除的情况下不当处理退役驱动器，则加密数据将无法读取。这种保护对于长期数据安全很重要，但对于大多数 PDF 工具用户来说并不是最相关的威胁。
更相关的威胁是利用软件漏洞的攻击者或具有合法服务器凭据的恶意内部人员对正在运行的服务器进行未经授权的访问。静态加密无法防范这些威胁，因为服务器将文件解密到内存中以进行处理。有权访问正在运行的服务器的攻击者可以看到内存中的解密文件。防范这些威胁需要访问控制、审计日志记录和入侵检测，而这些安全措施很难从公司外部进行验证。 SOC 2 等第三方安全认证可提供独立验证，证明这些控制措施是否存在并定期进行测试。
重要的第三方审核和认证
SOC 2 Type II 认证意味着独立审核员已经验证公司的安全控制措施设计正确并且随着时间的推移有效运行。 II 型指定很重要：I 型验证控制在某个时间点是否存在。 II 类验证他们在监控期内（通常为 6-12 个月）连续工作。 ISO 27001认证表明公司拥有全面的信息安全管理体系。这两种认证都需要每年进行更新审核。
缺乏这些认证并不意味着公司不安全。认证过程花费数万美元并需要数月时间，这对于初创公司和小公司来说通常是令人望而却步的。小型 PDF 工具公司可能会将优秀的安全实践记录在透明的安全页面中，而无需正式认证。阅读他们的安全文档，就好像他们有举证责任一样。解决加密、访问控制、保留和事件响应问题的详细、特定的安全页面比通用隐私策略和 ISO 徽章更值得信赖。特殊性表明公司有人仔细考虑了安全性。含糊的语言表明安全性是一个需要检查的方框，而不是一个需要实施的实践。
| 安全元件 | 寻找什么 | 红旗 |
|---|---|---|
| 传输加密 | TLS 1.2 或 1.3，强制执行 HTTPS | HTTP 可用，混合内容警告 |
| 静态加密 | AES-256，在安全文档中说明 | 政策或文件中未提及 |
| 数据保留 | 特定时间（1-24），自动删除 | 无限期、根据需要或未指定 |
| 访问控制 | 员工无权访问所述文件内容 | 可能出于服务改进或类似目的而访问 |
| 第三方审核 | SOC 2 类型 II，ISO 27001 | 没有认证，也没有详细的安全页面 |
客户端处理：免信任替代方案
现在，一些基于浏览器的 PDF 工具完全使用 WebAssembly 在浏览器中处理文件，而无需将文件发送到服务器。 PDF 处理库编译为 WebAssembly 并在浏览器的 JavaScript 沙箱中运行。文件被读入浏览器内存，在本地处理，然后输出直接写入磁盘。没有服务器看到该文件。这种架构完全消除了信任问题，因为没有服务器端存储可供信任或不信任。
客户端处理有局限性。它比服务器端处理慢，因为浏览器环境的优化程度低于本机应用程序。内存仅限于浏览器选项卡可以分配的内存，通常为 1-2 GB，这限制了最大文件大小。并且可用的操作受到 WebAssembly 编译的 PDF 库可以执行的操作的限制。对于 100 MB 以下文件的常规操作，客户端处理可提供最大程度的隐私性和可接受的性能。对于大型文件或复杂的操作，由值得信赖的提供商进行服务器端处理是实际的选择。
当您无法验证信任时该怎么办
对于包含您不希望出现在报纸头版的信息的任何 PDF，请勿将其上传到您无法验证安全措施的工具。使用在本地处理文件的桌面 PDF 工具。安装和启动桌面应用程序的一个小不便之处在于，您的数据必须保留在您的计算机上。桌面工具有其自身的安全考虑，特别是在自动更新机制和遥测方面，但核心 PDF 内容永远不会离开您的设备。
对于常规的、非敏感的 PDF 工作，使用未经验证且具有听起来合理的隐私政策的工具可能就可以了。 PDF工具公司挖掘个人用户文档的经济动机很弱：数据是非结构化的，内容是异构的，被抓到的声誉损失远远超过从数据中提取的任何价值。风险并不在于该公司主动恶意。问题在于他们疏忽大意，将文件存储在不安全的 S3 存储桶中或将其记录到不受监控的服务器上，而泄露会暴露他们不需要保留的文档。坚持较短的保留期和自动删除可以防止疏忽和恶意。