Säkerhet

1. Filerna stannar på din enhet

Alla filverktyg, även komprimering, OCR och konverteringar, körs i din webbläsare (JavaScript och WebAssembly). Filen skickas inte till en server, så ingen hos oss kan komma åt den. Du kan kontrollera det själv: öppna webbläsarens utvecklarverktyg (F12), fliken ”Nätverk”, och bearbeta en fil — du ser ingen uppladdning av filen. Till servern når bara text för AI-funktionerna och en sidadress för URL till PDF.

2. Krypterad anslutning

Webbplatsen fungerar bara via HTTPS. HSTS-rubriken (med post i webbläsarnas preload-lista) gör att webbläsaren alltid ansluter säkert, även vid första besöket.

3. Skydd i webbläsaren

• En Content Security Policy begränsar varifrån webbplatsen får läsa in skript och vad den får ansluta till: vår domän och de tjänster som nämns i den (Google-inloggning, Dropbox, Microsoft och efter samtycke Google Analytics).
• Webbplatsen kan inte bäddas in på andra webbplatser (X-Frame-Options: DENY, frame-ancestors) — det skyddar mot clickjacking.
• Permissions-Policy blockerar åtkomst till kamera, mikrofon, plats, USB och betalningar.
• X-Content-Type-Options och Referrer-Policy begränsar gissning av filtyper och vidarebefordran av sidadresser.

4. Skydd av servern

• API-förfrågningar tas bara emot från vår egen webbplats (kontroll av rubrikerna Origin och Referer — CSRF-skydd).
• Förfrågningsgränser: 30 per minut och IP-adress för API:t, 15 per dag för AI-funktionerna, 30 per 10 minuter för URL till PDF; en storleksgräns för förfrågningar på 100 MB.
• URL till PDF avvisar adresser i privata och lokala nätverk och serverns molntjänster, och den kontrollerade adressen är samma som servern ansluter till (skydd mot SSRF och DNS-rebinding).
• API-indata kontrolleras på servern (textlängd, tillåtna översättningsspråk).

5. AI-funktioner

Till AI skickar vi bara texten som extraherats ur filen och din fråga — utan din IP-adress eller webbläsaruppgifter, via vår server och dess API-nyckel (du behöver ingen egen). Varje förfrågan kräver en leverantör som enligt OpenRouter inte lagrar uppgifterna efter förfrågan och inte tränar modeller på dem; finns ingen sådan utförs förfrågan inte.

6. Inga konton eller profiler

Vi kräver ingen registrering eller inloggning, sparar inga lösenord och skapar inga användarprofiler. Lösenord för att skydda och låsa upp PDF och certifikat för signering används bara i din webbläsare.

7. Beroenden

Vi håller bibliotek uppdaterade och kontrollerar kända sårbarheter med npm audit och ett test som rapporterar varje ny varning på hög eller kritisk nivå i de beroenden webbplatsen använder.

8. Rapportera en sårbarhet

Om du hittar en säkerhetsbrist, skriv till kontakt@optimapdf.com. Vi förbinder oss att:

• bekräfta mottagandet inom 24 timmar,
• analysera den och släppa en rättelse inom 14 dagar (beroende på allvarlighet),
• berätta för dig vad vi har gjort,
• inte vidta rättsliga åtgärder mot den som rapporterar sårbarheter i god tro.

9. Certifieringar

OptimaPDF har ingen egen ISO 27001- eller SOC 2-certifiering. Vår webbhotelleverantör Vercel är certifierad enligt ISO 27001:2022 och har en SOC 2 typ 2-rapport. Eftersom filer aldrig når vår server finns det hos oss inga filer ”i vila” att kryptera.

10. Digitala signaturer och eIDAS

Verktyget ”Signera PDF” skapar en digital PAdES-signatur med ditt eget certifikat (.p12/.pfx) — helt i webbläsaren; varken filen eller certifikatet skickas. Det är en riktig kryptografisk signatur men inte automatiskt en kvalificerad elektronisk underskrift (QES) enligt eIDAS-förordningen (EU 910/2014): QES-status beror på om certifikatet har utfärdats av en kvalificerad tillhandahållare av betrodda tjänster och om nyckeln finns på en kvalificerad enhet.