Безопасно ли загружать документы на онлайн-сервисы
Вопрос сводится к одному: покидает ли файл ваш компьютер. У нас двадцать один инструмент из тридцати трёх работает целиком во вкладке браузера — файл читается на месте, обрабатывается и скачивается обратно, сетевого запроса с его содержимым просто нет. Это проверяется самостоятельно, во вкладке «Сеть» инструментов разработчика. Двенадцати инструментам сервер нужен, и три из них — сетевые утилиты, куда файлы вообще не загружают.
Коротко о цифрах
- В браузере
- 21 инструмент из 33: 19 для PDF и 2 для изображений
- На сервере
- 12, из них 3 — сетевые утилиты без загрузки файлов
- Предел на защиту и снятие пароля
- 50 МБ
- Предел на офисные конвертеры
- 25 МБ, у html в PDF — 10 МБ
- Временные файлы
- удаляются в блоке finally, включая файл с паролем
- Как проверить
- вкладка «Сеть» в инструментах разработчика
Что считается прямо во вкладке
Девятнадцать инструментов для PDF и два для изображений выполняются в браузере: объединение и разделение, извлечение и удаление страниц, раскладка нескольких страниц на лист, перестановка, поворот, обрезка, сжатие, подпись, редактор, водяные знаки, нумерация, сплющивание, перевод PDF в JPG, PNG и текст, сборка PDF из JPG и PNG, а также сжатие и обрезка фотографий.
Их объединяет одно: всё, что нужно для работы, уже есть в браузере — разбор PDF, отрисовка страниц, кодирование JPEG. Файл читается прямо с диска через API браузера, результат складывается в память вкладки и оттуда скачивается. Отправлять его некуда, потому что сервер в этой цепочке не участвует.
Что уходит на сервер и зачем
- protect и unlock — шифрование и расшифровка выполняются qpdf, нативной программой без браузерного аналога. Предел 50 МБ.
- repair и optimize — тот же qpdf: восстановление структуры повреждённого файла и оптимизация. Предел 50 МБ.
- word, excel и powerpoint в PDF — рендер выполняет Gotenberg. Предел 25 МБ.
- html в PDF — тоже Gotenberg, предел 10 МБ.
- pdf-to-word — отдельная служба на Python, предел 25 МБ.
- whois, nslookup и speedtest — сетевые утилиты, файлы в них не загружаются вовсе.
Как проверить это самому, а не поверить на слово
- Откройте инструменты разработчика в браузере и перейдите на вкладку «Сеть».
- Загрузите файл в сжатие PDF и дождитесь результата.
- Убедитесь, что запроса с телом файла в списке нет: единственное, что уходит после работы, — счётчик обработанных файлов, одно число без имени и содержимого.
- Повторите то же с установкой пароля: там запрос с файлом появится, потому что операцию выполняет qpdf на сервере.
- Разница между двумя списками и есть ответ на вопрос, кому вы доверяете документ.
Что происходит с файлом на сервере
- Входной файл, результат и временный файл с паролем удаляются в блоке finally — даже если программа упала или соединение оборвалось.
- Пароли пишутся в файл с правами 0600 и не попадают в аргументы процесса, видимые другим пользователям машины.
- На обработку отводится 60 секунд, после чего процесс убивается сигналом SIGKILL.
- Частота ограничена: 20 запросов за 10 минут на защиту и оптимизацию, 10 — на снятие пароля и ремонт.
- Аналитика посещений записывает действия с интерфейсом, но содержимое файлов в неё не попадает: серверные операции идут отдельно от неё.
- Серверная обработка — это всегда доверие оператору. Проверить, что файл удалён, вы не можете; проверить, что он вообще не отправлялся, — можете.
Частые вопросы
Как убедиться, что файл действительно не уходит?
Откройте вкладку «Сеть» в инструментах разработчика до загрузки файла и посмотрите список запросов после обработки. Для браузерных инструментов запроса с телом документа там не будет — это проверяется, а не принимается на веру.
Почему нельзя сделать всё в браузере?
Шифрование выполняет qpdf, офисные форматы разбирает Gotenberg, конвертацией в Word занимается служба на Python. Это нативные программы, у которых нет полноценных браузерных аналогов, поэтому такие операции остаются серверными.
Сколько файл хранится на вашем сервере?
До конца обработки. Входной файл, результат и временный файл с паролем удаляются сразу после ответа, причём в блоке, который выполняется даже при ошибке или обрыве соединения.
Что попадает в аналитику посещений?
Обезличенные данные о визите и действия с интерфейсом: клики, прокрутка, ввод в поля формы. Содержимое обрабатываемых документов туда не передаётся, а счётчик после каждой операции отправляет одно число — сколько файлов обработано.