Öryggi

1. Skrárnar haldast á tækinu þínu

Öll skráaverkfæri, líka þjöppun, OCR og umbreytingar, keyra í vafranum þínum (JavaScript og WebAssembly). Skráin er ekki send á netþjón, svo enginn hjá okkur hefur aðgang að henni. Þú getur athugað það sjálf(ur): opnaðu þróunartól vafrans (F12), flipann „Netkerfi“, og vinndu skrá — þú sérð enga upphleðslu skrárinnar. Á netþjóninn berst aðeins texti fyrir gervigreindareiginleika og vefslóð fyrir URL í PDF.

2. Dulkóðuð tenging

Vefurinn virkar aðeins yfir HTTPS. HSTS-hausinn (skráður á preload-lista vafra) lætur vafrann alltaf tengjast á öruggan hátt, líka í fyrstu heimsókn.

3. Vörn í vafranum

• Content Security Policy takmarkar hvaðan vefurinn má hlaða skriftum og við hvað hann má tengjast: lénið okkar og þjónustur sem þar eru nefndar (innskráning Google, Dropbox, Microsoft og eftir samþykki Google Analytics).
• Ekki er hægt að fella vefinn inn í aðra vefi (X-Frame-Options: DENY, frame-ancestors) — það ver gegn smellfölsun.
• Permissions-Policy lokar fyrir aðgang að myndavél, hljóðnema, staðsetningu, USB og greiðslum.
• X-Content-Type-Options og Referrer-Policy takmarka ágiskun skráargerða og áframsendingu vefslóða.

4. Vörn netþjónsins

• API-beiðnir eru aðeins teknar gildar frá okkar eigin vef (athugun á hausunum Origin og Referer — CSRF-vörn).
• Hámörk beiðna: 30 á mínútu á hverja IP-tölu fyrir API, 15 á dag fyrir gervigreindareiginleika, 30 á hverjum 10 mínútum fyrir URL í PDF; stærðarmörk beiðna 100 MB.
• URL í PDF hafnar slóðum einka- og staðarneta og skýjaþjónustu netþjónsins, og slóðin sem athuguð er, er sú sama og netþjónninn tengist (vörn gegn SSRF og DNS-endurbindingu).
• Inntak API er athugað á netþjóninum (lengd texta, leyfð þýðingartungumál).

5. Gervigreindareiginleikar

Til gervigreindarinnar sendum við aðeins textann sem dreginn er úr skránni og spurninguna þína — án IP-tölu þinnar eða upplýsinga um vafrann, í gegnum netþjóninn okkar og API-lykil hans (þú þarft engan eigin). Hver beiðni krefst veitanda sem samkvæmt OpenRouter geymir ekki gögnin lengur en beiðnin varir og þjálfar ekki líkön á þeim; ef enginn er til er beiðnin ekki framkvæmd.

6. Engir reikningar eða snið

Við krefjumst hvorki skráningar né innskráningar, geymum engin lykilorð og búum ekki til notendasnið. Lykilorð til að verja og opna PDF og skilríki til undirritunar eru aðeins notuð í vafranum þínum.

7. Ósjálfstæði

Við höldum söfnum uppfærðum og athugum þekkta veikleika með npm audit og prófi sem tilkynnir hverja nýja viðvörun á háu eða alvarlegu stigi í ósjálfstæðum sem vefurinn notar.

8. Tilkynna veikleika

Ef þú finnur öryggisgalla, skrifaðu á kontakt@optimapdf.com. Við skuldbindum okkur til að:

• staðfesta móttöku innan 24 klukkustunda,
• greina hann og gefa út lagfæringu innan 14 daga (eftir alvarleika),
• segja þér hvað við gerðum,
• grípa ekki til lagalegra aðgerða gegn þeim sem tilkynna veikleika í góðri trú.

9. Vottanir

OptimaPDF hefur enga eigin ISO 27001- eða SOC 2-vottun. Hýsingaraðilinn okkar, Vercel, er vottaður samkvæmt ISO 27001:2022 og hefur SOC 2 tegund 2-skýrslu. Þar sem skrár berast aldrei á netþjóninn okkar eru hjá okkur engar „kyrrstæðar“ skrár til að dulkóða.

10. Stafræn undirritun og eIDAS

Verkfærið „Undirrita PDF“ býr til stafræna PAdES-undirritun með þínu eigin skilríki (.p12/.pfx) — alfarið í vafranum; hvorki skráin né skilríkið eru send. Þetta er raunveruleg dulritunarundirritun en ekki sjálfkrafa fullgild rafræn undirskrift (QES) samkvæmt eIDAS-reglugerðinni (ESB 910/2014): staða QES ræðst af því hvort skilríkið var gefið út af fullgildum traustþjónustuveitanda og hvort lykillinn er á fullgildu tæki.