Sicurezza

1. I file restano sul tuo dispositivo

Tutti gli strumenti per i file, compresi compressione, OCR e conversioni, funzionano nel tuo browser (JavaScript e WebAssembly). Il file non viene inviato a un server, quindi nessuno da parte nostra può accedervi. Puoi verificarlo da solo: apri gli strumenti per sviluppatori del browser (F12), la scheda «Rete», ed elabora un file — non vedrai alcun caricamento del file. Al server arrivano solo il testo per le funzioni di IA e l’indirizzo di una pagina per URL in PDF.

2. Connessione cifrata

Il sito funziona solo tramite HTTPS. L’intestazione HSTS (con inserimento nell’elenco di precaricamento dei browser) fa sì che il browser si connetta sempre in modo sicuro, anche alla prima visita.

3. Protezione nel browser

• Una Content Security Policy limita da dove il sito può caricare script e con cosa può connettersi: il nostro dominio e i servizi indicati (accesso Google, Dropbox, Microsoft e, dopo il consenso, Google Analytics).
• Il sito non può essere incorporato in altri siti (X-Frame-Options: DENY, frame-ancestors), il che protegge dal clickjacking.
• Permissions-Policy blocca l’accesso a fotocamera, microfono, posizione, USB e pagamenti.
• X-Content-Type-Options e Referrer-Policy limitano l’indovinare dei tipi di file e la trasmissione degli indirizzi delle pagine.

4. Protezione del server

• Le richieste all’API sono accettate solo dal nostro sito (verifica delle intestazioni Origin e Referer — protezione CSRF).
• Limiti di richieste: 30 al minuto per indirizzo IP per l’API, 15 al giorno per le funzioni di IA, 30 ogni 10 minuti per URL in PDF; limite di dimensione delle richieste di 100 MB.
• URL in PDF rifiuta gli indirizzi di reti private e locali e dei servizi cloud del server, e l’indirizzo verificato è lo stesso a cui si connette il server (protezione da SSRF e DNS rebinding).
• Gli input dell’API sono verificati sul server (lunghezza del testo, lingue di traduzione consentite).

5. Funzioni di IA

All’IA inviamo solo il testo estratto dal file e la tua domanda — senza il tuo indirizzo IP né i dati del browser, tramite il nostro server e la sua chiave API (non te ne serve una tua). Ogni richiesta richiede un fornitore che, secondo OpenRouter, non conservi i dati oltre la richiesta e non li usi per addestrare modelli; se non ce n’è nessuno, la richiesta non viene eseguita.

6. Niente account né profili

Non richiediamo registrazione né accesso, non conserviamo password e non creiamo profili utente. Le password per proteggere e sbloccare i PDF e i certificati per firmare sono usati solo nel tuo browser.

7. Dipendenze

Manteniamo aggiornate le librerie e ne verifichiamo le vulnerabilità note con npm audit e un test che segnala ogni nuovo avviso di livello alto o critico nelle dipendenze usate dal sito.

8. Segnalare una vulnerabilità

Se trovi una falla di sicurezza, scrivi a kontakt@optimapdf.com. Ci impegniamo a:

• confermare la ricezione entro 24 ore,
• analizzarla e pubblicare una correzione entro 14 giorni (secondo la gravità),
• informarti su ciò che abbiamo fatto,
• non intraprendere azioni legali contro chi segnala vulnerabilità in buona fede.

9. Certificazioni

OptimaPDF non ha una propria certificazione ISO 27001 né SOC 2. Il nostro fornitore di hosting, Vercel, è certificato ISO 27001:2022 e dispone di un rapporto SOC 2 Tipo 2. Poiché i file non arrivano mai al nostro server, da parte nostra non ci sono file «a riposo» da cifrare.

10. Firma digitale ed eIDAS

Lo strumento «Firma PDF» crea una firma digitale PAdES con il tuo certificato (.p12/.pfx), interamente nel browser; né il file né il certificato vengono inviati. È una vera firma crittografica, ma non automaticamente una firma elettronica qualificata (QES) ai sensi del regolamento eIDAS (UE 910/2014): lo status QES dipende dal fatto che il certificato sia stato rilasciato da un prestatore di servizi fiduciari qualificato e che la chiave si trovi su un dispositivo qualificato.