Güvenlik

1. Dosyalar cihazınızda kalır

Sıkıştırma, OCR ve dönüştürmeler dahil tüm dosya araçları tarayıcınızda çalışır (JavaScript ve WebAssembly). Dosya bir sunucuya gönderilmez; bu yüzden bizim tarafımızda kimse ona erişemez. Bunu kendiniz kontrol edebilirsiniz: tarayıcının geliştirici araçlarını (F12) açın, «Ağ» sekmesine gidin ve bir dosya işleyin — dosyanın yüklendiğini görmezsiniz. Sunucuya yalnızca yapay zekâ özellikleri için metin ve URL'den PDF'e için sayfa adresi ulaşır.

2. Şifreli bağlantı

Site yalnızca HTTPS üzerinden çalışır. HSTS başlığı (tarayıcıların ön yükleme listesine kayıtlı) tarayıcının ilk ziyarette bile her zaman güvenli bağlanmasını sağlar.

3. Tarayıcıda koruma

• Content Security Policy, sitenin betikleri nereden yükleyebileceğini ve nelere bağlanabileceğini sınırlar: alan adımız ve orada adı geçen hizmetler (Google ile giriş, Dropbox, Microsoft ve izinden sonra Google Analytics).
• Site başka sitelere gömülemez (X-Frame-Options: DENY, frame-ancestors) — bu, tıklama korsanlığına karşı korur.
• Permissions-Policy kamera, mikrofon, konum, USB ve ödemelere erişimi engeller.
• X-Content-Type-Options ve Referrer-Policy dosya türü tahminini ve sayfa adreslerinin aktarılmasını sınırlar.

4. Sunucu koruması

• API istekleri yalnızca kendi sitemizden kabul edilir (Origin ve Referer başlıklarının denetimi — CSRF koruması).
• İstek sınırları: API için IP adresi başına dakikada 30, yapay zekâ özellikleri için günde 15, URL'den PDF'e için 10 dakikada 30; istek boyutu sınırı 100 MB.
• URL'den PDF'e özel ve yerel ağların ve sunucunun bulut hizmetlerinin adreslerini reddeder; denetlenen adres, sunucunun bağlandığı adresle aynıdır (SSRF ve DNS yeniden bağlamaya karşı koruma).
• API girdileri sunucuda denetlenir (metin uzunluğu, izin verilen çeviri dilleri).

5. Yapay zekâ özellikleri

Yapay zekâya yalnızca dosyadan çıkarılan metni ve sorunuzu göndeririz — IP adresiniz veya tarayıcı bilgileriniz olmadan, sunucumuz ve onun API anahtarı üzerinden (kendi anahtarınıza gerek yoktur). Her istek, OpenRouter'a göre verileri istekten sonra saklamayan ve onlarla model eğitmeyen bir sağlayıcı gerektirir; yoksa istek gerçekleştirilmez.

6. Hesap veya profil yok

Kayıt veya giriş istemeyiz, parola saklamayız ve kullanıcı profili oluşturmayız. PDF'leri korumak ve kilidini açmak için kullanılan parolalar ile imza sertifikaları yalnızca tarayıcınızda kullanılır.

7. Bağımlılıklar

Kütüphaneleri güncel tutarız ve bilinen güvenlik açıklarını npm audit ile ve sitenin kullandığı bağımlılıklardaki her yeni yüksek veya kritik düzeydeki uyarıyı bildiren bir testle denetleriz.

8. Güvenlik açığı bildirimi

Bir güvenlik açığı bulursanız kontakt@optimapdf.com adresine yazın. Şunları taahhüt ediyoruz:

• alındığını 24 saat içinde onaylamak,
• incelemek ve 14 gün içinde (önem derecesine göre) bir düzeltme yayımlamak,
• ne yaptığımızı size bildirmek,
• açıkları iyi niyetle bildirenlere karşı yasal işlem başlatmamak.

9. Sertifikalar

OptimaPDF'in kendine ait ISO 27001 veya SOC 2 sertifikası yoktur. Barındırma sağlayıcımız Vercel ISO 27001:2022 sertifikalıdır ve SOC 2 Tip 2 raporuna sahiptir. Dosyalar sunucumuza hiç ulaşmadığından, bizim tarafımızda şifrelenecek «beklemedeki» dosya yoktur.

10. Dijital imza ve eIDAS

«PDF imzala» aracı kendi sertifikanızla (.p12/.pfx) bir PAdES dijital imzası oluşturur — tamamen tarayıcıda; ne dosya ne de sertifika gönderilir. Bu gerçek bir kriptografik imzadır ancak eIDAS Tüzüğü (AB 910/2014) anlamında otomatik olarak nitelikli elektronik imza (QES) değildir: QES statüsü, sertifikanın nitelikli bir güven hizmeti sağlayıcısı tarafından verilmiş olmasına ve anahtarın nitelikli bir cihazda bulunmasına bağlıdır.