الأمان

1. تبقى الملفات على جهازك

تعمل جميع أدوات الملفات، بما فيها الضغط وOCR والتحويلات، في متصفحك (JavaScript وWebAssembly). لا يُرسل الملف إلى خادم، لذا لا يستطيع أحد من جهتنا الوصول إليه. يمكنك التحقق بنفسك: افتح أدوات المطوّر في المتصفح (F12)، ثم علامة التبويب «الشبكة»، وعالج ملفًا — لن ترى أي رفع للملف. لا يصل إلى الخادم إلا النص في ميزات الذكاء الاصطناعي وعنوان الصفحة في تحويل URL إلى PDF.

2. اتصال مشفّر

لا يعمل الموقع إلا عبر HTTPS. تجعل ترويسة HSTS (المُدرجة في قائمة التحميل المسبق للمتصفحات) المتصفح يتصل دائمًا بأمان، حتى في الزيارة الأولى.

3. الحماية في المتصفح

• تحدّ سياسة أمان المحتوى من المصادر التي يمكن للموقع تحميل البرامج النصية منها والجهات التي يمكنه الاتصال بها: نطاقنا والخدمات المذكورة فيها (تسجيل الدخول بـ Google وDropbox وMicrosoft، وبعد الموافقة Google Analytics).
• لا يمكن تضمين الموقع في مواقع أخرى (X-Frame-Options: DENY وframe-ancestors) — ما يحمي من اختطاف النقرات.
• تحظر Permissions-Policy الوصول إلى الكاميرا والميكروفون والموقع الجغرافي وUSB والمدفوعات.
• تحدّ X-Content-Type-Options وReferrer-Policy من تخمين أنواع الملفات ومن تمرير عناوين الصفحات.

4. حماية الخادم

• لا تُقبل طلبات API إلا من موقعنا (التحقق من ترويستي Origin وReferer — حماية من CSRF).
• حدود الطلبات: 30 في الدقيقة لكل عنوان IP لواجهة API، و15 يوميًا لميزات الذكاء الاصطناعي، و30 كل 10 دقائق لتحويل URL إلى PDF؛ وحد لحجم الطلب قدره 100 ميغابايت.
• يرفض تحويل URL إلى PDF عناوين الشبكات الخاصة والمحلية وخدمات الخادم السحابية، والعنوان الذي يُتحقق منه هو نفسه الذي يتصل به الخادم (حماية من SSRF وإعادة ربط DNS).
• تُفحص مدخلات API على الخادم (طول النص، لغات الترجمة المسموح بها).

5. ميزات الذكاء الاصطناعي

لا نرسل إلى الذكاء الاصطناعي إلا النص المستخرج من الملف وسؤالك — من دون عنوان IP أو بيانات المتصفح، عبر خادمنا ومفتاح API الخاص به (لا تحتاج إلى مفتاح خاص بك). يشترط كل طلب مزوّدًا لا يحتفظ بالبيانات بعد الطلب ولا يدرّب النماذج عليها وفق OpenRouter؛ وإن لم يوجد لا يُنفَّذ الطلب.

6. لا حسابات ولا ملفات تعريف

لا نطلب تسجيلًا أو دخولًا، ولا نحفظ كلمات مرور، ولا ننشئ ملفات تعريف للمستخدمين. تُستخدم كلمات المرور لحماية ملفات PDF وفتحها وشهادات التوقيع في متصفحك فقط.

7. التبعيات

نُبقي المكتبات محدّثة ونفحص ثغراتها المعروفة باستخدام npm audit واختبار يُبلغ عن كل تنبيه جديد عالي الخطورة أو حرج في التبعيات التي يستخدمها الموقع.

8. الإبلاغ عن ثغرة

إذا وجدت ثغرة أمنية، راسل kontakt@optimapdf.com. نلتزم بما يلي:

• تأكيد الاستلام خلال 24 ساعة،
• تحليلها ونشر إصلاح خلال 14 يومًا (حسب الخطورة)،
• إبلاغك بما قمنا به،
• عدم اتخاذ إجراءات قانونية ضد من يبلّغون عن الثغرات بحسن نية.

9. الشهادات

لا يملك OptimaPDF شهادة ISO 27001 أو SOC 2 خاصة به. مزوّد الاستضافة لدينا، Vercel، حاصل على شهادة ISO 27001:2022 ولديه تقرير SOC 2 من النوع 2. وبما أن الملفات لا تصل إلى خادمنا أبدًا، فلا توجد لدينا ملفات «مخزّنة» تحتاج إلى تشفير.

10. التوقيع الرقمي وeIDAS

تُنشئ أداة «توقيع PDF» توقيعًا رقميًا من نوع PAdES بشهادتك (.p12/.pfx) — بالكامل في المتصفح؛ لا يُرسل الملف ولا الشهادة. إنه توقيع تشفيري حقيقي، لكنه ليس تلقائيًا توقيعًا إلكترونيًا مؤهلًا (QES) وفق لائحة eIDAS (الاتحاد الأوروبي 910/2014): يتوقف وضع QES على إصدار الشهادة من مزوّد خدمات ثقة مؤهل ووجود المفتاح على جهاز مؤهل.