Bezpieczeństwo

1. Pliki zostają na Twoim urządzeniu

Wszystkie narzędzia do plików, łącznie z kompresją, OCR i konwersjami, działają w Twojej przeglądarce (JavaScript i WebAssembly). Plik nie jest wysyłany na serwer, więc nikt po naszej stronie nie ma do niego dostępu. Możesz to sprawdzić sam: otwórz narzędzia deweloperskie przeglądarki (F12), zakładkę „Sieć”, i przetwórz plik — nie zobaczysz żadnego wysyłania pliku. Na serwer trafia tylko tekst przy funkcjach AI i adres strony przy konwersji URL do PDF.

2. Szyfrowane połączenie

Strona działa wyłącznie przez HTTPS. Nagłówek HSTS (z wpisem na listę preload przeglądarek) każe przeglądarce zawsze łączyć się szyfrowanie, także przy pierwszej wizycie.

3. Ochrona strony w przeglądarce

• Content Security Policy ogranicza, skąd strona może ładować skrypty i z kim może się łączyć: z naszą domeną oraz z wymienionymi z nazwy usługami (logowanie Google, Dropbox, Microsoft, a po zgodzie Google Analytics).
• Strony nie da się osadzić w obcej witrynie (X-Frame-Options: DENY, frame-ancestors) — chroni to przed podstępnym klikaniem.
• Permissions-Policy blokuje dostęp do kamery, mikrofonu, lokalizacji, USB i płatności.
• X-Content-Type-Options i Referrer-Policy ograniczają zgadywanie typów plików i przekazywanie adresów stron.

4. Ochrona serwera

• Żądania do API są przyjmowane tylko z naszej strony (sprawdzanie nagłówków Origin i Referer — ochrona przed CSRF).
• Limity zapytań: 30 na minutę na adres IP dla API, 15 dziennie dla funkcji AI, 30 na 10 minut dla konwersji URL do PDF; limit rozmiaru żądania 100 MB.
• Konwersja URL do PDF odrzuca adresy sieci prywatnych, lokalnych i usług chmurowych serwera, a adres sprawdzony przy weryfikacji jest tym samym, z którym serwer się łączy (ochrona przed SSRF i podmianą DNS).
• Dane wejściowe API są sprawdzane po stronie serwera (długość tekstu, dozwolone języki tłumaczenia).

5. Funkcje AI

Do AI wysyłamy tylko tekst wyodrębniony z pliku i Twoje pytanie — bez adresu IP i danych o przeglądarce, przez nasz serwer i jego klucz API (nie potrzebujesz własnego). Każde zapytanie wymaga dostawcy, który według OpenRouter nie przechowuje danych trwale i nie trenuje na nich modeli; gdy takiego brak, zapytanie się nie wykonuje.

6. Brak kont i profili

Nie wymagamy rejestracji ani logowania, nie przechowujemy haseł i nie tworzymy profili użytkowników. Hasła do zabezpieczania i odblokowywania PDF oraz certyfikaty do podpisu są używane tylko w Twojej przeglądarce.

7. Zależności

Biblioteki aktualizujemy, a ich znane podatności sprawdzamy narzędziem npm audit i testem, który zgłasza każde nowe ostrzeżenie o wysokim lub krytycznym poziomie w zależnościach używanych przez stronę.

8. Zgłaszanie podatności

Jeśli znajdziesz lukę bezpieczeństwa, napisz na kontakt@optimapdf.com. Zobowiązujemy się:

• potwierdzić otrzymanie zgłoszenia w ciągu 24 godzin,
• przeanalizować je i wdrożyć poprawkę w ciągu 14 dni (zależnie od wagi),
• poinformować Cię o podjętych działaniach,
• nie podejmować kroków prawnych wobec osób zgłaszających podatności w dobrej wierze.

9. Certyfikaty

OptimaPDF nie ma własnych certyfikatów ISO 27001 ani SOC 2. Dostawca hostingu, Vercel, ma certyfikat ISO 27001:2022 i raport SOC 2 typu 2. Ponieważ pliki nie trafiają na nasz serwer, nie ma po naszej stronie plików „w spoczynku” do szyfrowania.

10. Podpis cyfrowy i eIDAS

Narzędzie „Podpisz PDF” tworzy podpis cyfrowy PAdES Twoim certyfikatem (.p12/.pfx) — w całości w przeglądarce; ani plik, ani certyfikat nie są wysyłane. To prawdziwy podpis kryptograficzny, ale nie automatycznie kwalifikowany podpis elektroniczny (QES) w rozumieniu rozporządzenia eIDAS (UE 910/2014): status QES zależy od tego, czy certyfikat wydał kwalifikowany dostawca usług zaufania i czy klucz jest na kwalifikowanym urządzeniu.