Sécurité

1. Les fichiers restent sur votre appareil

Tous les outils de fichiers, y compris la compression, l’OCR et les conversions, fonctionnent dans votre navigateur (JavaScript et WebAssembly). Le fichier n’est pas envoyé à un serveur : personne de notre côté ne peut y accéder. Vous pouvez le vérifier vous-même : ouvrez les outils de développement du navigateur (F12), l’onglet « Réseau », et traitez un fichier — vous ne verrez aucun envoi du fichier. Seuls le texte des fonctions d’IA et l’adresse d’une page pour URL vers PDF parviennent au serveur.

2. Connexion chiffrée

Le site fonctionne uniquement en HTTPS. L’en-tête HSTS (avec inscription sur la liste de préchargement des navigateurs) impose au navigateur une connexion sécurisée, même lors de la première visite.

3. Protection dans le navigateur

• Une Content Security Policy limite d’où le site peut charger des scripts et à quoi il peut se connecter : notre domaine et les services qu’elle nomme (connexion Google, Dropbox, Microsoft et, après consentement, Google Analytics).
• Le site ne peut pas être intégré dans un autre site (X-Frame-Options: DENY, frame-ancestors), ce qui protège contre le détournement de clic.
• Permissions-Policy bloque l’accès à la caméra, au micro, à la localisation, à l’USB et aux paiements.
• X-Content-Type-Options et Referrer-Policy limitent la devinette des types de fichiers et la transmission des adresses de pages.

4. Protection du serveur

• Les requêtes à l’API ne sont acceptées que depuis notre propre site (vérification des en-têtes Origin et Referer : protection CSRF).
• Limites de requêtes : 30 par minute et par adresse IP pour l’API, 15 par jour pour les fonctions d’IA, 30 par 10 minutes pour URL vers PDF ; limite de taille des requêtes de 100 Mo.
• URL vers PDF refuse les adresses des réseaux privés et locaux et des services cloud du serveur, et l’adresse vérifiée est celle à laquelle le serveur se connecte (protection contre SSRF et DNS rebinding).
• Les entrées de l’API sont vérifiées sur le serveur (longueur du texte, langues de traduction autorisées).

5. Fonctions d’IA

Nous n’envoyons à l’IA que le texte extrait du fichier et votre question — sans votre adresse IP ni les informations du navigateur, via notre serveur et sa clé API (vous n’avez pas besoin de la vôtre). Chaque requête exige un fournisseur qui, selon OpenRouter, ne conserve pas les données au-delà de la requête et n’entraîne pas de modèles avec elles ; s’il n’y en a aucun, la requête n’est pas exécutée.

6. Ni comptes ni profils

Nous n’exigeons ni inscription ni connexion, ne conservons aucun mot de passe et ne créons aucun profil utilisateur. Les mots de passe pour protéger et déverrouiller les PDF et les certificats de signature ne sont utilisés que dans votre navigateur.

7. Dépendances

Nous maintenons les bibliothèques à jour et vérifions leurs vulnérabilités connues avec npm audit et un test qui signale toute nouvelle alerte de niveau élevé ou critique dans les dépendances utilisées par le site.

8. Signaler une vulnérabilité

Si vous trouvez une faille de sécurité, écrivez à kontakt@optimapdf.com. Nous nous engageons à :

• accuser réception sous 24 heures,
• l’analyser et publier un correctif sous 14 jours (selon la gravité),
• vous informer de ce que nous avons fait,
• n’engager aucune poursuite contre les personnes qui signalent des vulnérabilités de bonne foi.

9. Certifications

OptimaPDF ne détient pas de certification ISO 27001 ni SOC 2 propre. Notre hébergeur, Vercel, est certifié ISO 27001:2022 et dispose d’un rapport SOC 2 Type 2. Comme les fichiers n’atteignent jamais notre serveur, il n’y a de notre côté aucun fichier « au repos » à chiffrer.

10. Signature numérique et eIDAS

L’outil « Signer un PDF » crée une signature numérique PAdES avec votre propre certificat (.p12/.pfx), entièrement dans le navigateur ; ni le fichier ni le certificat ne sont envoyés. C’est une véritable signature cryptographique, mais pas automatiquement une signature électronique qualifiée (QES) au sens du règlement eIDAS (UE 910/2014) : le statut QES dépend de la délivrance du certificat par un prestataire de services de confiance qualifié et de la présence de la clé sur un dispositif qualifié.