在 PDF 上设置密码或在文档属性中将其标记为机密都是已声明意图的行为。您告诉该文件以及处理该文件的任何人该文件不是公开的。当您将受密码保护的文件上传到 PDF 工具进行处理时会发生什么？该工具必须解密文件才能使用它。问题是该工具是否尊重您写入文件的隐私意图，或者将其视为另一个数据有效负载。
仅当您使用的工具尊重隐私设置时，它们才重要。验证是了解的唯一方法。
检查PDF安全工具是否真正尊重您的隐私设置需要使用受保护的文件测试其行为，根据特定标准阅读其数据处理文档，并在处理完成后验证其删除声明。 WukongPDF 的PDF 工具 采用尊重隐私的默认设置构建，下面的框架适用于您评估的任何工具。
PDF 隐私设置实际保护的内容
当保护正确应用时，受密码保护的 PDF 会使用 AES 进行静态加密。如果没有密码，任何人都无法打开该文件或查看其内容。当文件位于硬盘驱动器或云存储中时，这种保护效果非常好。当您向工具提供处理密码时，它就会停止工作。该工具必须将内容解密到内存中才能执行任何操作、压缩、转换、OCR、合并。
在处理过程中，文件以解密形式存在于工具的内存空间中。隐私设置不会随解密内容一起传播。解密后，该工具可以完全访问未受保护的文档。它对该访问的作用、保留解密数据的时间、是否记录任何内容，完全取决于该工具的实施和策略。处理前密码保护文件。在此期间和之后，该工具的行为决定了您的隐私意图是否得到尊重或绕过。
测试工具如何处理受密码保护的 PDF
创建一个包含独特内容、独特句子或特定数字的测试 PDF，供您稍后搜索。使用已知密码对其进行密码保护。使用该密码通过工具上传并处理它。下载输出，确认正确性。一周后，尝试在没有密码的情况下处理同一文件。该工具应再次提示输入密码，这是正确的行为，表明它没有存储解密的内容或密码本身。
这个金丝雀测试揭示了保留行为。将密码与文件一起存储或单独缓存解密内容的工具消除了密码本应提供的保护。测试文件中嵌入的独特内容可用作标记：如果您在未经授权的上下文中发现该内容，您就可以确切地知道哪个工具泄露了它以及何时泄露。
阅读隐私文档以获得有意义的承诺
隐私政策使用特定的措辞来做出特定的承诺，或避免做出特定的承诺。声明我们不会访问您的文件内容的政策是一项具体的、可证伪的声明。声明我们尊重您的隐私的政策不会带来任何影响。第一个是可测试的。第二是营销。寻找具体的语言：文件存储在哪里，谁可以访问它们，它们保留多长时间，它们是否有超出您所请求的服务的任何用途。
政策中的缺陷与其声明一样具有影响力。如果从未提及员工对文件内容的访问权限，则该策略并不禁止。如果未说明保留期限，文件可能会无限期地保留。仔细阅读政策中遗漏的内容和内容。未回答的问题定义了风险领域。全面的政策可以回答理性用户提出的每一个问题。
| 政策语言 | 它的实际含义 | 信任级别 |
|---|---|---|
| 文件在处理后 24 小时内删除 | 具体的、可衡量的、可验证的承诺 | 高的 |
| 我们不会访问、共享或保留您的文件 | 明确禁止在服务之外使用数据 | 高的 |
| 可能会保留文件以改善我们的服务 | 您的数据可能用于机器学习训练或分析 | 低的 |
| 我们认真对待您的隐私 | 没有具体承诺的营销语言 | 低的 |
| 没有关于员工访问权限的声明 | 政策不禁止员工访问 | 假设最坏的情况 |
处理后验证删除声明
24 小时的删除声明应该是可测试的。处理测试文件，记下确切时间，25 小时后尝试通过该工具的界面或联系有关该特定文件的支持人员来访问该文件。如果可以访问，则删除声明是错误的，或者保留窗口比广告中的时间长。如果消失，则该声明适用于该测试。在几周内重复测试几次。
服务器负载、维护时段和备份周期都会影响实际的删除时间。通过一项测试是令人鼓舞的。多次尝试一致通过测试是删除过程可靠的证据。偶尔的失败表明尽力删除而不是保证删除。对于敏感文档，只有通过重复测试验证的保证删除才能提供可接受的保证。当风险很高时，尽力而为是不够的。
客户端处理作为最终的隐私验证
使用 WebAssembly 完全在浏览器中处理文件的工具完全消除了信任问题。该文件永远不会离开计算机。加密是无关紧要的，因为文件永远不会被传输。删除是无关紧要的，因为不存在服务器副本。隐私验证简化为一项检查：任何网络请求在处理过程中是否包含文件数据？
在处理之前打开浏览器的开发者工具“网络”选项卡。留意请求。网络请求中的文件数据意味着该工具不是真正的客户端。任何请求中都没有文件数据意味着处理真正是本地的。这个 30 秒的验证提供了明确的架构证据。 “网络”选项卡不会说谎。隐私政策有时会这样做。
工具未通过隐私验证时该怎么办
失败的验证是可操作的信息。您现在知道要让敏感文档远离该工具。如果该工具在其他方面表现良好，请继续使用它进行非敏感工作。记录分离：该工具用于公共文档和日常处理，该工具通过验证，用于任何包含机密信息的工具。
如果该工具的隐私声明很明确并且您的测试与它们相矛盾，请考虑报告差异。一款承诺 24 小时删除但文件保留一周的工具会导致每个用户在错误的前提下做出隐私决定。发送给隐私联系人的简短电子邮件描述测试结果，使公司有机会纠正行为或纠正营销。这两种结果都对未来的用户有利，否则他们会相信不准确的说法。