Sicurezza
Scopri le misure di protezione e i limiti dell'elaborazione locale dei documenti.
Qui, sicurezza significa due cose: mantenere i tuoi documenti nel browser anziché su un server ed essere trasparenti quando uno strumento non può davvero fare ciò che il suo nome lascia intendere. Spieghiamo entrambi gli aspetti qui sotto.
I limiti dell'elaborazione locale#
Durante l'operazione, gli strumenti locali mantengono i dati dei documenti nella memoria del browser e creano il risultato come nuovo file in memoria. Il file originale non viene mai modificato e resta disponibile per il confronto.
Poiché l'elaborazione avviene nella tua scheda, il principale confine di fiducia è la tua sessione del browser: le estensioni del browser, i dispositivi condivisi e un sistema operativo compromesso sono al di fuori del controllo di Paperlane. Tieni aggiornati il browser e il dispositivo ed evita di usare estensioni sconosciute mentre gestisci documenti sensibili.
Crittografia, sblocco e rifiuto trasparente#
Encrypt PDF, Remove Password e Unlock PDF si basano sulla libreria pdf-lib inclusa in questa app in una versione bloccata. La libreria implementa solo la lettura della protezione PDF tramite password: può aprire e ispezionare PDF crittografati, ma non può applicare una crittografia PDF reale conforme agli standard.
Anziché simulare questa funzione con una richiesta di password puramente cosmetica che non protegge davvero il file, Encrypt PDF rifiuta l'operazione in modo trasparente: convalida i dati inseriti, poi segnala che non è collegato alcun motore di crittografia in scrittura verificato e non produce file. Remove Password e Unlock PDF seguono lo stesso criterio: non dichiarano riuscita un'operazione che non possono eseguire correttamente.
Se oggi ti serve una vera crittografia PDF con password, usa uno strumento di cui sia stata verificata l'implementazione della parte dello standard relativa alla scrittura, invece di affidarti a questa app per quella specifica operazione.
Segnalazione di una vulnerabilità#
Le segnalazioni di sicurezza vengono gestite tramite il contatto di sicurezza pubblicato in /.well-known/security.txt, che segue la convenzione RFC 9116 consultata automaticamente dagli scanner e dai ricercatori di sicurezza.
Per una richiesta generale di assistenza (non relativa a una vulnerabilità), usa invece la pagina Contatti: i due canali sono destinati a persone diverse, ma arrivano allo stesso team.
Misure di protezione nel browser#
L'app imposta le intestazioni di protezione standard quando la piattaforma di hosting lo consente ed evita di aggiungere script di terze parti nelle pagine degli strumenti, che altrimenti potrebbero accedere ai contenuti dei documenti presenti in memoria.