Seguridad

1. Los archivos se quedan en tu dispositivo

Todas las herramientas de archivos, incluidas la compresión, el OCR y las conversiones, funcionan en tu navegador (JavaScript y WebAssembly). El archivo no se envía a un servidor, así que nadie de nuestro lado puede acceder a él. Puedes comprobarlo tú mismo: abre las herramientas para desarrolladores del navegador (F12), la pestaña «Red», y procesa un archivo: no verás ninguna subida del archivo. Al servidor solo llegan el texto de las funciones de IA y la dirección de una página en URL a PDF.

2. Conexión cifrada

El sitio funciona solo por HTTPS. La cabecera HSTS (con inclusión en la lista de precarga de los navegadores) hace que el navegador se conecte siempre de forma segura, incluso en la primera visita.

3. Protección en el navegador

• Una Content Security Policy limita desde dónde puede cargar scripts el sitio y con qué puede conectarse: nuestro dominio y los servicios que nombra (inicio de sesión de Google, Dropbox, Microsoft y, con consentimiento, Google Analytics).
• El sitio no puede incrustarse en otros sitios (X-Frame-Options: DENY, frame-ancestors), lo que protege del clickjacking.
• Permissions-Policy bloquea el acceso a la cámara, el micrófono, la ubicación, USB y pagos.
• X-Content-Type-Options y Referrer-Policy limitan la adivinación de tipos de archivo y la transmisión de direcciones de páginas.

4. Protección del servidor

• Las solicitudes a la API solo se aceptan desde nuestro propio sitio (comprobación de las cabeceras Origin y Referer: protección CSRF).
• Límites de solicitudes: 30 por minuto y dirección IP para la API, 15 al día para las funciones de IA, 30 cada 10 minutos para URL a PDF; límite de tamaño de solicitud de 100 MB.
• URL a PDF rechaza direcciones de redes privadas y locales y de los servicios en la nube del servidor, y la dirección comprobada es la misma a la que se conecta el servidor (protección contra SSRF y DNS rebinding).
• Las entradas de la API se comprueban en el servidor (longitud del texto, idiomas de traducción permitidos).

5. Funciones de IA

A la IA solo enviamos el texto extraído del archivo y tu pregunta, sin tu dirección IP ni datos del navegador, a través de nuestro servidor y su clave API (no necesitas una propia). Cada solicitud exige un proveedor que, según OpenRouter, no conserve los datos más allá de la solicitud ni entrene modelos con ellos; si no hay ninguno, la solicitud no se realiza.

6. Sin cuentas ni perfiles

No pedimos registro ni inicio de sesión, no guardamos contraseñas ni creamos perfiles de usuario. Las contraseñas para proteger y desbloquear PDF y los certificados para firmar se usan solo en tu navegador.

7. Dependencias

Mantenemos las bibliotecas actualizadas y comprobamos sus vulnerabilidades conocidas con npm audit y una prueba que avisa de cada nueva alerta de nivel alto o crítico en las dependencias que usa el sitio.

8. Notificar una vulnerabilidad

Si encuentras un fallo de seguridad, escribe a kontakt@optimapdf.com. Nos comprometemos a:

• confirmar la recepción en 24 horas,
• analizarlo y publicar una corrección en 14 días (según la gravedad),
• contarte lo que hemos hecho,
• no emprender acciones legales contra quien notifique vulnerabilidades de buena fe.

9. Certificaciones

OptimaPDF no tiene certificación ISO 27001 ni SOC 2 propia. Nuestro proveedor de alojamiento, Vercel, tiene la certificación ISO 27001:2022 y un informe SOC 2 Tipo 2. Como los archivos nunca llegan a nuestro servidor, de nuestro lado no hay archivos «en reposo» que cifrar.

10. Firma digital y eIDAS

La herramienta «Firmar PDF» crea una firma digital PAdES con tu propio certificado (.p12/.pfx), por completo en el navegador; ni el archivo ni el certificado se envían. Es una firma criptográfica real, pero no automáticamente una firma electrónica cualificada (QES) según el Reglamento eIDAS (UE 910/2014): la condición de QES depende de que el certificado lo haya emitido un prestador cualificado de servicios de confianza y de que la clave esté en un dispositivo cualificado.