Чи безпечний Safha? Безпека та ваші файли

Ми не продаємо ваших персональних даних, не показуємо таргетованої реклами й не використовуємо рекламних cookie чи сторонніх cookie для відстеження. Політика безпеки вмісту (Content Security Policy) сайту дозволяє нашим сторінкам підключатися лише до нашого власного домену (connect-src 'self').

Щоб користуватися інструментами, обліковий запис не потрібен. Наша аналітика – власна: ми ніколи не зберігаємо вашу IP-адресу у вихідному вигляді, а перетворюємо її на хешований токен за допомогою секрету, що змінюється щодня. Журнали інструментів ніколи не містять назв чи вмісту ваших файлів – лише інструмент, де він працював, чи вдалося завдання, скільки воно тривало, і приблизний діапазон розміру.

Файл читається й обробляється у вашому браузері, а результат ви завантажуєте безпосередньо з браузера. Файл не надсилається на жоден сервер. Це стосується більшості інструментів для PDF і зображень, як-от об'єднання, розділення, повороту, підписання власного файлу й стиснення фото.

Деяким інструментам потрібні програми, які погано працюють у браузері, наприклад для офісних конвертацій і OCR. Тут ваш файл надсилається зашифрованим з'єднанням до нашого сервісу конвертації, який обробляє його й стирає, щойно вам надіслано результат.

«Стислий зміст PDF», «Перекласти PDF» і «Запитання до PDF» витягують текст із вашого файлу й надсилають цей текст, а не сам файл, компанії Anthropic зашифрованим з'єднанням. Подробиці – у розділі ШІ. Радимо не використовувати ці інструменти для дуже конфіденційних документів.

Коли ви просите інших людей підписати документ, ми зберігаємо його, доки всі не підпишуть: документ, імена й адреси електронної пошти підписантів і журнал усіх кроків. Ця функція доступна лише власникам облікових записів. Як довго ми це зберігаємо, описано в розділі Зберігання й видалення.

Офіційного «сертифіката GDPR» не існує, і ми на нього не претендуємо. Проте ми застосовуємо його принципи: збираємо якомога менше даних, встановлюємо строк для всього, що зберігаємо, і пояснюємо, де обробляється кожен файл. Ваші права включають:

• Видалення: самостійно видаліть свій обліковий запис на сторінці «Мій обліковий запис».
• Виправлення: змініть ім'я та мову на сторінці «Мій обліковий запис»; щодо всього іншого напишіть нам.
• Доступ і перенесення: попросіть копію даних свого облікового запису на [email protected].

Ми застосовуємо практики з настанов OWASP щодо безпеки вебзастосунків, зокрема:

• Політика безпеки вмісту (CSP): скрипти й з'єднання обмежено нашим доменом, а сайт не можна вбудувати в інші сайти.
• Захист від SSRF: «HTML у PDF» і «HTML у зображення» приймають лише публічні посилання http і https, а ми перевіряємо IP-адресу під час кожного з'єднання й кожного перенаправлення, тож жоден запит не може дістатися нашої внутрішньої мережі.
• Ізольований рендеринг: браузер, що рендерить вебсторінки, не має прямого доступу до інтернету; кожен його запит проходить ту саму перевірку, а скрипти в завантажених HTML-файлах типово вимкнено. Макроси у файлах Office ніколи не запускаються, а кожна конвертація виконується в окремому процесі з обмеженням часу й обсягу того, що вона може записати.

В Іраку діє Закон про електронний підпис та електронні транзакції № 78 від 2012 року. Підписи в Safha – це прості електронні підписи: ми зберігаємо журнал дій із часом кожного кроку, а також відбиток SHA-256 оригінального й остаточного документа. Це не підписи, засвідчені центром сертифікації, і ми не надаємо юридичних консультацій щодо їхньої чинності. Якщо вашому документу потрібен підпис із певною юридичною силою, зверніться до фахівця з права.

• ISO/IEC 27001: побудова системи управління інформаційною безпекою за цим стандартом перед незалежним оцінюванням.
• Незалежний тест на проникнення від зовнішньої компанії.
• Двофакторна автентифікація для облікових записів адміністраторів.
• Шифрування файлів запитів на підпис у стані спокою.

Safha працює на сервері, орендованому в Contabo GmbH, діапазон адрес якого, за даними реєстру RIPE NCC, зареєстровано в Німеччині. Кожен сервіс працює в окремому контейнері Docker під керуванням Coolify: вебзастосунок сайту, сервіс конвертації й база даних PostgreSQL.

Трафік сайту проходить через мережу Cloudflare, сервіс якої включає автоматичний захист від розподілених атак на відмову в обслуговуванні (DDoS). Усередині сервера база даних розташована у внутрішній мережі, відрізаній від інтернету, а сервіс конвертації не приймає з'єднань ззовні: дістатися до нього може лише вебзастосунок сайту, і то зі спільним секретним токеном.

• Увесь сайт працює через HTTPS, а запити HTTP перенаправляються на HTTPS.
• З'єднання підтримують TLS 1.3.
• Ми надсилаємо заголовок HSTS на два роки (max-age=63072000; includeSubDomains), тож ваш браузер відкриває сайт лише зашифрованим з'єднанням.
• З'єднання між Cloudflare і нашим сервером також зашифроване дійсним сертифікатом TLS.

Ми зберігаємо на сервері небагато: облікові записи, сценарії, збережені резюме й аналітику в базі даних, а файли запитів на підпис – на диску сервера. Паролі й токени посилань для підписання зберігаються лише у вигляді хешів (bcrypt і SHA-256). Чесно кажучи: наразі ми не шифруємо базу даних і файли запитів на підпис у стані спокою власним ключем; їх захищають ізоляція мережі й дозволи сервера.

У Safha є лише дві ролі: користувач і адміністратор. Панель адміністрування відкривається лише для облікового запису з роллю адміністратора, і ми перевіряємо цю роль на сервері двічі: під час переходу до панелі, а потім на кожній сторінці й під час кожної дії в ній. Зміна ролі облікового запису чи його призупинення одразу завершує його сеанси.

• Сервіс конвертації працює від імені користувача без прав root на файловій системі лише для читання й записує тільки в тимчасову папку в пам'яті.
• Він зчитує свої секрети один раз під час запуску, а потім відмовляється від привілеїв root; ці секрети ніколи не потрапляють до процесів конвертації.
• Ключ Anthropic зберігається лише в сервісі конвертації; він ніколи не потрапляє ні до вебзастосунку сайту, ні до браузера.
• Пароль бази даних і ключ підписання сеансів генерує платформа розгортання; ніхто не вводить їх вручну.

Наразі ми не пропонуємо двофакторної автентифікації для облікових записів адміністраторів і не стверджуватимемо протилежного. Доки ми її не додамо, перший пароль адміністратора генерується випадково платформою розгортання, а спроби входу обмежено, як і для кожного облікового запису.

Дії, що доходять до пристроїв користувачів, як-от надсилання сповіщень і публікація версій застосунку, записуються в журнал із зазначенням адміністратора й часу.