跳到主要內容
SafhaSafha

Safha 安全嗎？安全性與您的檔案

Safha 如何保護您的檔案：每個檔案在哪裡處理、何時清除、誰看得到、我們遵循的標準，以及還在進行中的項目，都在這一頁清楚說明。

我們知道您的檔案可能包含合約、證件和個人文件。所以我們打造 Safha 時，就盡可能讓您的工作留在您的裝置上；當檔案必須離開裝置時，我們會告訴您何時、去哪裡、為什麼。本頁的所有內容都來自服務的實際設定、程式碼和正式伺服器的回應。我們尚未完成的項目，都清楚標示為「進行中」。

最後更新:

一覽

  • TLS 1.3加密連線，並啟用為期兩年的 HSTS
本頁內容

隱私原則

Safha 每項功能背後的三個原則：

  • 我們不出售您的資料

    我們不出售您的個人資料、不顯示目標式廣告，也不使用任何廣告 Cookie 或第三方追蹤 Cookie。網站的內容安全政策只允許我們的頁面連線到我們自己的網域（connect-src 'self'）。

  • 只收集必要的資料

    使用工具不需要帳號。我們的統計分析是自有的：我們絕不儲存您原始的 IP 位址，而是用每天更換的秘密值把它轉換成雜湊權杖。工具紀錄絕不包含您的檔案名稱或內容，只有工具名稱、執行位置、是否成功、花了多久時間，以及大約的大小範圍。

  • 由您掌控

    在選擇檔案之前，您就能看到檔案會在哪裡處理。您可以隨時刪除簽署邀請和工作流程，也可以在「我的帳號」頁面自行刪除帳號。詳細內容請見我們的隱私權政策。

您的檔案在哪裡處理

每個工具都有標章，讓您在選擇檔案之前就知道檔案會在哪裡處理。以下是各種情況：

  • 在您的裝置上

    檔案在您的瀏覽器中讀取和處理，您也是直接從瀏覽器下載結果。**檔案不會傳送到任何伺服器。**大部分 PDF 和圖片工具都屬於這一類，例如合併、分割、旋轉、簽署您自己的檔案和壓縮圖片。

  • 在我們的伺服器上

    有些工具需要無法在瀏覽器中順暢執行的軟體，例如 Office 轉換和 OCR。這時您的檔案會透過加密連線傳送到我們的轉換服務，處理完成並送出結果後立即清除。

  • 透過 AI 服務供應商

    「AI 摘要 PDF」、「翻譯 PDF」和「與 PDF 對話」會從您的檔案中擷取文字，並透過加密連線把這些文字（而不是檔案）傳送給 Anthropic。詳細內容請見 AI 一節。我們建議不要將這些工具用於高度敏感的文件。

  • 邀請他人簽署

    當您請其他人簽署文件時，我們會保留文件直到所有人都簽好為止：包括文件、簽署人的姓名和電子郵件，以及每個步驟的稽核紀錄。這項功能僅限擁有帳號的使用者。保留多久請見保留與刪除。

  • 工作流程

    如果您把多個工具串連成儲存的工作流程，每個步驟都會遵循各自工具的規則。我們會在您的帳號中儲存工作流程的設定，而不是經過它的檔案。

我們遵循的標準

我們目前沒有取得 ISO/IEC 27001 或 SOC 2 等第三方資安認證，也不會顯示這些認證的標誌。以下是我們實際採用的標準，以及我們正在進行的項目：

  • GDPR 原則

    並沒有官方的「GDPR 認證」，我們也不會這樣宣稱。但我們會落實它的原則：盡可能少收集資料、對保留的所有資料設定期限，並說明每個檔案在哪裡處理。您的權利包括：

    • **刪除：**在「我的帳號」頁面自行刪除帳號。
    • **更正：**在「我的帳號」頁面修改名稱和語言；其他事項請寄信給我們。
    • **存取與可攜性：**寄信到 [email protected] 索取您帳號資料的副本。

  • OWASP 實務

    我們採用 OWASP 網頁應用程式安全指南中的實務做法，包括：

    • **內容安全政策（CSP）：**指令碼和連線僅限於我們的網域，網站也無法被嵌入其他網站。
    • SSRF 防護：「網頁轉 PDF」和「網頁轉圖片」只接受公開的 http 和 https 連結，我們會在每次連線和每次重新導向時檢查 IP 位址，因此任何請求都無法觸及我們的內部網路。
    • **隔離的轉譯環境：**負責轉譯網頁的瀏覽器沒有直接的網際網路存取；它的每個請求都會經過相同的檢查，上傳的 HTML 檔案預設也會停用指令碼。Office 檔案中的巨集絕不會執行，每次轉換都在獨立的程序中進行，並有時間限制和寫入量上限。

  • 伊拉克電子簽章法

    伊拉克訂有 2012 年第 78 號《電子簽章與電子交易法》。Safha 中的簽名屬於簡易電子簽名：我們會保留記錄每個步驟時間的稽核紀錄，以及原始文件和最終文件的 SHA-256 指紋。它們不是經憑證機構認證的簽章，我們也不會就其效力提供法律意見。如果您的文件需要具有特定法律效力的簽章，請諮詢法律專業人士。

  • 我們正在進行的項目

    進行中
    • **ISO/IEC 27001：**依此標準建立資訊安全管理系統，為獨立評鑑做準備。
    • 由外部公司進行的獨立滲透測試。
    • 管理員帳號的雙重驗證。
    • 簽署邀請檔案的靜態加密。

產品安全

  • 主機代管

    Safha 執行於向 Contabo GmbH 租用的伺服器上，根據 RIPE NCC 登記資料，其位址範圍登記在德國。每項服務都在各自的 Docker 容器中執行，並以 Coolify 管理：網站應用程式、轉換服務和 PostgreSQL 資料庫。

  • 網路與 DDoS 防護

    網站流量會經過 Cloudflare 的網路，其服務包含對分散式阻斷服務（DDoS）攻擊的自動防護。在伺服器內部，資料庫位於與網際網路隔離的內部網路，轉換服務也不接受任何外部連線：只有網站應用程式能透過共用的秘密權杖連線到它。

  • 傳輸加密

    • 整個網站都透過 HTTPS 執行，HTTP 請求會被重新導向到 HTTPS。
    • 連線支援 TLS 1.3。
    • 我們會送出為期兩年的 HSTS 標頭（max-age=63072000; includeSubDomains），讓您的瀏覽器只透過加密連線開啟網站。
    • Cloudflare 與我們伺服器之間的連線也有加密，並使用有效的 TLS 憑證。

  • 儲存

    我們在伺服器上保留的資料很少：資料庫中的帳號、工作流程、儲存的履歷和統計資料，以及伺服器磁碟上的簽署邀請檔案。密碼和簽署連結權杖僅以雜湊形式儲存（bcrypt 和 SHA-256）。在此明確說明：目前我們沒有用自己的金鑰對資料庫或簽署邀請檔案進行靜態加密；它們受到網路隔離和伺服器權限的保護。

保留與刪除

以下數字來自服務的實際設定：

資料 保留多久
在您裝置上執行之工具的檔案 從不傳到我們這裡
伺服器工具的檔案和結果 結果送出後立即清除，或處理失敗時立即清除
卡住的工作檔案（例如您的連線中斷時） 自動清理程式每 5 分鐘執行一次，清除任何超過 42 分鐘的工作檔案
暫存檔案存放的位置 暫時性的記憶體檔案系統（tmpfs），而不是永久磁碟，服務重新啟動時會完全清空
我們這邊的 AI 工具文字 處理完成後不保留
「與 PDF 對話」的文字 最多在伺服器記憶體中保留 30 分鐘，絕不寫入磁碟
Anthropic 那邊的文字 依其公布的政策，30 天內刪除，但有其列出的例外情況
寄給簽署人的簽署連結 自寄出起 30 天內有效
用簽署人的連結下載已簽署副本 邀請完成後 30 天
簽署邀請文件和稽核紀錄 直到您自行刪除邀請為止
登入工作階段 30 天
詳細的統計紀錄 400 天，之後只保留每日總計
您的帳號 直到您在「我的帳號」頁面刪除為止

當您刪除帳號時，我們會從資料庫中清除您的帳號、工作流程、儲存的履歷、簽署邀請及其稽核紀錄；工具使用次數會保留，但不再與您有任何關聯。簽署邀請檔案也會從伺服器磁碟中清除。

帳號與密碼

  • 密碼以成本係數 12 的 bcrypt 雜湊儲存，無法還原成原本的密碼。我們不接受少於 8 個字元的密碼。
  • 您的工作階段存放在經過簽署、帶有 HttpOnly、Secure 和 SameSite=Lax 屬性的 Cookie 中，30 天後到期。每個敏感請求，我們都會在資料庫中重新檢查帳號狀態。
  • 變更密碼會立即結束您所有其他的工作階段。
  • **登入嘗試有次數限制：**15 分鐘內，每個帳號錯誤 5 次、每個 IP 位址錯誤 20 次。
  • 我們絕不會透過電子郵件或任何其他方式向您索取密碼。

AI

「AI 摘要 PDF」、「翻譯 PDF」和「與 PDF 對話」使用 Anthropic 的 API，而且只有在我們於伺服器上啟用時才會運作。

  • **傳送的內容：**從您檔案中擷取的文字，而不是檔案本身，每次請求都有大小上限。
  • **我們保留的內容：**處理完成後什麼都不保留。只有「與 PDF 對話」會把文字保留在伺服器記憶體中最多 30 分鐘，以便回答您的後續問題。
  • **Anthropic 的說明：**根據其公布的隱私權政策（最後更新於 2026 年 7 月 1 日），它會在 30 天內從系統中刪除 API 的輸入和輸出，但其列出的情況除外，包括執行其使用政策和遵守法律。其商業條款載明，它不得使用其服務中的客戶內容來訓練模型。
  • **我們的建議：**不要將這些工具用於高度敏感的文件。

付款

目前版本中，Safha 的每個工具和功能都免費。我們不會要求您提供信用卡或金融卡，網站也沒有付款系統。因此，我們不會收集或儲存任何付款資料。

「我的文件」保險箱

即將在 App 中推出

在 Safha 手機 App 中，用來存放身分證和護照等官方文件的保險箱：

  • **只留在您的手機上：**其中的任何內容都絕不會透過網路傳送。
  • **以 AES-256-GCM 加密：**每份文件、其預覽和保險箱的索引都會加密。
  • **金鑰受手機系統保護：**Android Keystore 或 iOS 鑰匙圈，以生物辨識或裝置密碼解鎖，或使用保險箱專用的 6 位數 PIN 碼。
  • 不包含在備份中，也不會在轉移到其他裝置時一併轉移。

內部安全

  • 存取管理

    Safha 只有兩種角色：會員和管理員。管理後台只對具有管理員角色的帳號開放，我們會在伺服器上檢查這個角色兩次：進入後台時一次，之後在後台內的每個頁面和動作上再檢查一次。變更帳號角色或停權帳號，會立即結束其工作階段。

  • 最小權限

    • 轉換服務以非 root 使用者身分、在唯讀檔案系統上執行，只會寫入暫時性的記憶體資料夾。
    • 它只在啟動時讀取一次秘密資訊，之後就放棄 root 權限；這些秘密資訊絕不會傳到轉換程序中。
    • Anthropic 金鑰只存在於轉換服務中，絕不會傳到網站應用程式或瀏覽器。
    • 資料庫密碼和工作階段簽署金鑰由部署平台產生，沒有人手動輸入。

  • 管理員雙重驗證

    進行中

    我們目前沒有為管理員帳號提供雙重驗證，也不會宣稱已經提供。在加入這項功能之前，第一組管理員密碼由部署平台隨機產生，登入嘗試也和所有帳號一樣有次數限制。

  • 管理員操作紀錄

    會影響使用者裝置的操作，例如傳送通知和發布 App 版本，都會記錄管理員身分和時間。

自己確認檔案沒有被上傳

您不必只相信我們的說法。對於在您裝置上執行的工具，您可以在電腦上自己確認：

  1. 用 Chrome、Edge 或 Firefox 打開工具頁面。
  2. 按 F12（或按右鍵選擇「檢查」），然後打開網路分頁。
  3. 選擇您的檔案並執行工具。
  4. 觀察清單：您不會看到任何帶著您檔案、或大小與檔案相符的請求。

還有更簡單的方法：打開工具頁面後中斷網路連線，工具仍然可以正常使用。

回報安全漏洞

如果您在 Safha 中發現安全漏洞，請寄信到 [email protected]。我們依照 RFC 9116，在 security.txt 檔案中公布這個地址。請您：

  • **說明問題、**重現步驟，以及受影響的頁面或工具。
  • **不要存取、變更或刪除他人的資料，**測試時也不要干擾服務。
  • 在公布任何細節之前，給我們合理的修正時間。

我們會閱讀並回覆每一份回報。我們目前沒有提供付費的漏洞獎勵計畫，但非常感謝每一位幫助我們保護使用者的人。其他關於隱私或帳號的問題：[email protected]。

我們的承諾

網路上沒有任何保護是完美的。我們承諾的就是這裡寫的內容：盡可能讓您的工作留在您的裝置上，並在檔案離開裝置時，清楚告訴您它去了哪裡、為什麼。只要這裡的任何內容有所變更，我們就會更新本頁和日期。