מבוא
העלאת מסמך רגיש לממיר אינטרנט יכולה להרגיש מסוכנת. הקובץ עלול להיתפס, להישמר זמן ארוך מהצפוי, או לעבור עיבוד באופן שמעלה חששות פרטיות. מהנדסי פרונטאנד בחברות SaaS יכולים להפחית את הסיכון הזה באמצעות צופה מאובטח, ממוקד פרטיות, השולט בגישה, מגן על המסמכים במהלך העיבוד ומגביל את משך זמינות הקבצים הזמניים.
הפוסט הזה בוחן את הסיכונים הקשורים לממירי אינטרנט כלליים, ולאחר מכן מפריד בין שני נושאים שגורמים לבלבול תדיר: הצופה הציבורי החינמי ב-OnlineDocumentViewer.com ו-Doconut SDK שהצוות של SaaS משלב במוצר שלו. הם אינם אותו מוצר והם עונים על שאלות שונות.
הבנת נוף האיומים לשירותי המרת קבצים
גם ממיר אינטרנט משוכלל יכול לחשוף נתונים רגישים אם האבטחה אינה מטופלת בקפידה. הסיכונים הנפוצים ביותר כוללים העברות לא בטוחות, מדיניות שמירת קבצים לא ברורה, ובקרות גישה חלשות.
| איום | איך זה קורה | השפעה בעולם האמיתי |
|---|---|---|
| יירוט של אדם-ביניים | הגדרות העברה חלשות או לא בטוחות עלולות לחשוף קבצים בזמן העלאה או גישה. | חוזים סודיים, רשומות בריאות, דוחות פיננסיים או קבצי מקור עלולים להיחשף. |
| אחסון מתמשך בשרתים של צד שלישי | חלק מהשירותים משאירים קבצים שהועלו למשך שעות או ימים ללא נראות ברורה למשתמש. | זה יכול ליצור סיכוני פרטיות, בעיות ציות, ודאגות ביקורת. |
| בידוד חלש של הצופה המוטמע | חוויות תצוגה מוטמעות שלא נשלטות היטב עשויות להגביר חשיפה לסקריפטים לא רצויים או גישה בלתי מורשית. | תוכן מסמך רגיש עלול להיות בסיכון גבוה יותר אם הצופה אינו מבודד כראוי. |
למוצר SaaS שצריך להתמודד עם קבצים סודיים, חולשות אלו יכולות ליצור חששות עסקיים וצייתנות רציניים. הפתרון אינו רק להשתמש בהעברה מאובטחת. יש צורך גם בצופה שמגביל חשיפת מסמכים, שולט בגישה ותומך בתהליכים ממוקדי פרטיות.
שני מוצרים שונים, וההבדל חשוב כאן
לפני שממשיכים: OnlineDocumentViewer.com הוא אתר ציבורי חינמי. כל אחד מעלה קובץ, קורא אותו, והקובץ נמחק כאשר הסשן מסתיים. אין חשבונות, אין תפקידים, אין הרשאות ואין מסלול ביקורת, מכיוון שאין מי שמקשר אותם אליהם. זהו פתרון טוב ל-"לא מצליח לפתוח את הקובץ הזה" ולא פתרון ל-"מי בארגון שלי יכול לקרוא את החוזה הזה".
הדבר שמספק תשובה לשאלה השנייה הוא ה-Doconut SDK: אותו מנוע רינדור, מורשה ומותקן על השרתים שלכם, כאשר היישום שלכם מספק אימות, הרשאה, אחסון ורישום סביבו.
רוב המאמר מתמקד במוצר השני.
למה גישה מוגבלת בזמן חשובה
כאשר צופה מוטמע באפליקציית אינטרנט, האופן שבו המסמכים נגישים הוא כל סיפור האבטחה. קישור קובץ ישיר הוא קל ליישום ונשאר תקף זמן רב אחרי שהאדם שקיבל אותו הפסיק להזדקק לו.
התבנית הבטוחה יותר היא הפנייה שנוצרה על‑ידי השרת, בעלת תוקף קצר, ממוקדת במסמך אחד ובסשן אחד, כאשר בדיקת ההרשאה מתבצעת מחדש על כל בקשה שמאחוריה.
תבנית זו היא משהו היישום שלכם מיישם. היא איננה תכונה של רכיב הצופה, ובוודאי איננה תכונה של אתר ציבורי: ל-OnlineDocumentViewer.com אין מודל זהות שמאפשר להקיף משהו. מה שיש לו במקום זאת הוא סשן שמסתיים ולוקח איתו את הקובץ.
מחיקת קבצים אוטומטית ופרטיות: מה שעליך לאמת
חוקי הפרטיות והמדיניות הפנימית של האבטחה דורשים לעיתים קרובות מצוות להימנע משמירת נתונים אישיים או סודיים יותר מהנדרש. רבים מהקונברטורים החינמיים או הגנריים מזכירים מחיקה אוטומטית, אך הפרטים אינם תמיד ברורים. חלקם עשויים למחוק קבצים רק לאחר השהייה קבועה, בעוד שאחרים עשויים לשמור עותקים זמניים זמן רב יותר מהצפוי.
כאשר מעריכים כל מציג מסמכים או קונברטור, יש לאמת:
- כמה זמן קבצים שהועלו נשארים זמינים.
- האם קבצים זמניים נמחקים לאחר סשן הצפייה.
- האם נוצרות עותקי גיבוי או יומני מסמכים גולמיים.
- האם היסטוריית הגישה זמינה לבחינה.
- האם השירות תומך בדרישות הפרטיות והציות הפנימיות שלך.
באתר זה התשובה לכל חמשת השאלות היא קצרה: ההעלאה נמחקת כאשר סשן הצפייה מסתיים, אין חשבון ואין ספרייה, אין שמירת היסטוריית גישה מכיוון שאין זהות לצרף אליה, ואין שום תעודה שמאשרת זאת. זהו מודל מתאים לקובץ שהיית שולח במייל בכל מקרה, אך אינו מתאים לקובץ תיק.
הטמעת מציג ללא תוספים
כאן שני המוצרים נפרדים לחלוטין, ולכן יש להיות מדויק לגבי איזה מהם אתה מעריך.
| אתר חינמי | Doconut SDK | |
|---|---|---|
| היכן הוא רץ | השרתים שלנו | שלך |
| ניתן להטמעה במוצר שלך | לא | כן |
| מתארח בעצמך | לא | כן |
| אימות ותפקידים | אין. אין חשבונות | של היישום שלך |
| מעקב ביקורת | אין | כל מה שהיישום שלך רושם |
| שמירה | נמחק לאחר סשן הצפייה | המדיניות שלך |
| עלות | חינמי | רישיון מסחרי |
| פורמטים | 73 הרחבות | 75 פורמטים ב‑18 משפחות, כולל DICOM |
שניהם ללא תוספים ושניהם מציגים בצד השרת, ולכן שום דבר אינו מתבצע במחשב של המשתמש. כל שאר הפריטים ברשימה הם הבדלים, ובחירת העמודה הלא נכונה היא הדרך שבה ביקורת אבטחה מתבצעת בצורה גרועה.
טיפים פרקטיים לשילוב בתהליכי SaaS מאובטחים
הטיפים הללו חלים על מציג משולב בתוך המוצר שלך — כלומר, ה‑SDK. הם אינם ניתנים ליישום באתר הציבורי, שאין בו שרת שלך.
1. יצירת גישה קצרה בחיי השרת
פתור מזהה מסמך שבבעלות היישום במקום לחשוף את הקובץ המקורי. קשר את ההפניה למסמך אחד, פעולה אחת וסשן אחד, ותן לה חיי שירות קצרים.
2. החזר רק מה שהלקוח צריך
החלק הקדמי צריך לקבל את הפנייה לצפייה, ולא את נתיב האחסון או האישורים.
3. החל הרשאות לפי תפקיד, בצד השרת
חלק מהמשתמשים קוראים; חלק אחרים עשויים גם להדפיס או לייצא. אכוף זאת בבקשה, ולא על ידי הסתרת כפתור סרגל כלים.
4. רישום אירועי גישה
משתמש, שוכר, מזהה מסמך, פעולה, תוצאת האימות, חותמת זמן. מזהים ותוצאות — ולא תוכן המסמך, לא אסימונים, לא כתובות URL של אחסון.
נקודות מפתח
- מסמכים רגישים לא צריכים להיות חשופים דרך קישורים ציבוריים קבועים.
- השאלה שיש לשאול קונברטור מתארח היא שמירה, לא הצפנה: כמה זמן הקובץ נשמר, ומי יכול לגשת אליו בזמן שהוא קיים.
- המציג החינמי באתר זה אינו כולל חשבונות, תפקידים או מעקב ביקורת. הוא מוחק את ההעלאה לאחר הסשן, וזהו כל מודל הגישה שלו.
- כל דבר הדורש אימות, הרשאות, רישום או אירוח עצמי הוא תפקיד ה‑SDK, הפועל בתוך היישום שלך.
- תצוגה ללא תוספים משאירה את המשתמשים בתוך המוצר שלך — אך רק ה‑SDK המשולב נותן לך את המוצר לשמור אותם בתוכו.
- טענות הציות שייכות למערכת שהפעלת, ולא לרכיב. אין לנו תעודות, ואף מוצר אינו משנה זאת.
שאלות נפוצות
ש: האם אני יכול למנוע מהמשתמשים להוריד מסמך?
ת: לא באתר זה — אין בו חשבונות, תפקידים או מודל הרשאות. ביישום שלך עם ה‑SDK, סרגל הכלים הוא שלך לקונפיגורציה, והשרת שלך עדיין צריך לאמת כל בקשה שמאחוריו. הסתרת כפתור אינה שליטת גישה.
ש: היישום שלי מאחסן מסמכים באחסון ענן. האם זרימת עבודה זו עדיין רלוונטית?
ת: עם ה‑SDK, כן. ה‑backend שלך פותר מזהה מסמך שבבעלות היישום למיקום האחסון שלו, בודק שהמשתמש מורשה, ומעביר את הקובץ למציג. נתיב האחסון המקורי לעולם אינו מגיע לדפדפן. האתר החינמי אינו יכול לעשות זאת: יש לו קלט אחד, שהוא העלאת קובץ מהאדם שמקליד.
ש: האם מחיקת קבצים אוטומטית מספיקה לציות?
ת: לא. ניקוי הוא אחד מהבקרות הרבות; הציות תלוי בתהליך העבודה שלך, במדיניות, ברישום, בבקרות הגישה ובטיפול בנתונים. אמת את התנהגות השמירה בסביבה שבה אתה מריץ בפועל, ושים לב שאין לנו תעודה שתומכת בכך — אין לנו אף אחת.
ש: מה אם משתמש צריך להדפיס מסמך?
ת: המציג החינמי מדפיס; אין מה להגדיר ואין מישהו לשנות זאת עבורו. ביישום שלך, הדפסה היא החלטה לפי תפקיד שאתה מקבל ומאכף בצד השרת.
סיכום
העלאת קובץ רגיש לממיר מקוון היא החלטה לגבי שמירה וגישה, ולא לגבי טופס ההעלאה. שאלו כמה זמן הקובץ נשמר, מי יכול לגשת אליו, והיכן הוא מעובד.
לקובץ חד‑פעמי שאינו סודי, Online Document Viewer פותח אותו בחינם, ללא חשבון, ומוחק אותו כאשר סוגרים את הלשונית. לתצוגה מקדימה של מסמך בתוך מוצר SaaS שלכם — עם האימות שלכם, ההרשאות שלכם והאחסון שלכם — מה שאתם צריכים הוא Doconut SDK, שמופעל על השרתים שלכם ולעולם לא שולח את המסמך לשום מקום.
שני מוצרים. בחרו את זה שתואם את המסמך.