Safha és segur? Seguretat i els teus fitxers

No venem les teves dades personals, no mostrem anuncis personalitzats i no fem servir galetes publicitàries ni galetes de seguiment de tercers. La política de seguretat del contingut (Content Security Policy) del lloc només permet que les nostres pàgines es connectin al nostre domini (connect-src 'self').

No necessites cap compte per fer servir les eines. Les nostres estadístiques són pròpies: no desem mai la teva adreça IP sense processar, sinó que la convertim en un testimoni amb hash amb un secret que canvia cada dia. Els registres de les eines no contenen mai el nom ni el contingut dels teus fitxers, només l'eina, on ha funcionat, si ha anat bé, quant ha trigat i un interval de mida aproximat.

El fitxer es llegeix i es processa dins del navegador, i baixes el resultat des del mateix navegador. El fitxer no s'envia a cap servidor. Això inclou la majoria d'eines de PDF i d'imatge, com unir, dividir, girar, signar el teu propi fitxer i comprimir imatges.

Algunes eines necessiten programari que no funciona bé en un navegador, com les conversions d'ofimàtica i l'OCR. Aquí el fitxer s'envia per una connexió xifrada al nostre servei de conversió, que el processa i l'esborra tan bon punt s'envia el resultat.

Resumir PDF, Traduir PDF i Pregunta al teu PDF extreuen el text del fitxer i envien aquest text, no el fitxer, a Anthropic per una connexió xifrada. Els detalls són a la secció IA. Et recomanem no fer servir aquestes eines amb documents molt sensibles.

Quan demanes a altres persones que signin un document, el guardem fins que tothom ha signat: el document, el nom i el correu dels signants i un registre d'auditoria de cada pas. Aquesta funció és només per a persones amb compte. Quant de temps el guardem s'explica a Conservació i eliminació.

No existeix cap «certificat RGPD» oficial, i no en reclamem cap. El que sí que fem és aplicar-ne els principis: recollim tan poques dades com podem, posem un límit de temps a tot el que guardem i expliquem on es processa cada fitxer. Els teus drets inclouen:

• Supressió: elimina el teu compte tu mateix des de la pàgina «El meu compte».
• Rectificació: canvia el nom i l'idioma a la pàgina «El meu compte»; per a qualsevol altra cosa, escriu-nos.
• Accés i portabilitat: demana una còpia de les dades del teu compte a [email protected].

Apliquem pràctiques de la guia de seguretat d'aplicacions web d'OWASP, entre les quals:

• Política de seguretat del contingut (CSP): els scripts i les connexions es limiten al nostre domini, i el lloc no es pot incrustar en altres llocs.
• Protecció contra SSRF: HTML a PDF i HTML a imatge només accepten enllaços públics http i https, i comprovem l'adreça IP a cada connexió i a cada redirecció, perquè cap sol·licitud no pugui arribar a la nostra xarxa interna.
• Renderització aïllada: el navegador que mostra les pàgines web no té accés directe a internet; cadascuna de les seves sol·licituds passa per aquesta mateixa comprovació, i els scripts estan desactivats per defecte als fitxers HTML pujats. Les macros dels fitxers d'ofimàtica no s'executen mai, i cada conversió funciona en el seu propi procés amb un límit de temps i un límit del que pot escriure.

L'Iraq té la Llei de signatura electrònica i transaccions electròniques núm. 78 de 2012. Les signatures de Safha són signatures electròniques simples: guardem un registre d'auditoria amb l'hora de cada pas, i una empremta SHA-256 del document original i del final. No són signatures certificades per una autoritat de certificació, i no donem assessorament legal sobre la seva validesa. Si el teu document necessita una signatura amb una validesa legal concreta, consulta un professional del dret.

• ISO/IEC 27001: construir un sistema de gestió de la seguretat de la informació segons aquesta norma, abans d'una avaluació independent.
• Una prova de penetració independent feta per una empresa externa.
• Autenticació en dos passos per als comptes d'administrador.
• Xifratge en repòs dels fitxers de les sol·licituds de signatura.

Safha funciona en un servidor llogat a Contabo GmbH, el rang d'adreces del qual està registrat a Alemanya segons el registre RIPE NCC. Cada servei funciona en el seu propi contenidor Docker gestionat amb Coolify: l'aplicació web, el servei de conversió i una base de dades PostgreSQL.

El trànsit del lloc passa per la xarxa de Cloudflare, el servei del qual inclou protecció automàtica contra atacs de denegació de servei distribuïda (DDoS). Dins del servidor, la base de dades és en una xarxa interna aïllada d'internet, i el servei de conversió no accepta connexions de fora: només l'aplicació web hi pot accedir, amb un testimoni secret compartit.

• Tot el lloc funciona amb HTTPS, i les sol·licituds HTTP es redirigeixen a HTTPS.
• Les connexions admeten TLS 1.3.
• Enviem una capçalera HSTS durant dos anys (max-age=63072000; includeSubDomains), perquè el navegador només obri el lloc per una connexió xifrada.
• La connexió entre Cloudflare i el nostre servidor també està xifrada, amb un certificat TLS vàlid.

Guardem poca cosa al servidor: comptes, fluxos de treball, currículums desats i estadístiques a la base de dades, i els fitxers de les sol·licituds de signatura al disc del servidor. Les contrasenyes i els testimonis dels enllaços de signatura només es desen com a hash (bcrypt i SHA-256). Per ser clars: avui no xifrem en repòs la base de dades ni els fitxers de les sol·licituds de signatura amb una clau pròpia; estan protegits per l'aïllament de la xarxa i els permisos del servidor.

Safha només té dos rols: membre i administrador. El tauler d'administració només s'obre per a un compte amb el rol d'administrador, i comprovem aquest rol al servidor dues vegades: quan s'accedeix al tauler, i després a cada pàgina i acció de dins. Canviar el rol d'un compte o suspendre'l en tanca immediatament les sessions.

• El servei de conversió funciona com un usuari que no és root sobre un sistema de fitxers de només lectura, i només escriu en una carpeta temporal en memòria.
• Llegeix els seus secrets una sola vegada en arrencar i després renuncia als privilegis de root; aquests secrets no arriben mai als processos de conversió.
• La clau d'Anthropic només és al servei de conversió; no arriba mai a l'aplicació web ni al navegador.
• La contrasenya de la base de dades i la clau de signatura de les sessions les genera la plataforma de desplegament; ningú no les escriu a mà.

Avui no oferim autenticació en dos passos per als comptes d'administrador, i no direm que sí. Fins que l'afegim, la primera contrasenya d'administrador la genera a l'atzar la plataforma de desplegament, i els intents d'inici de sessió estan limitats com a qualsevol compte.

Les accions que arriben als dispositius dels usuaris, com enviar notificacions i publicar versions de l'aplicació, es registren amb la identitat de l'administrador i l'hora.