はじめに

機密文書をオンラインコンバータにアップロードすることはリスクがあると感じられます。ファイルが傍受されたり、予想以上に長期間保存されたり、プライバシー上の問題を引き起こす形で処理されたりする可能性があります。SaaS企業のフロントエンドエンジニアは、アクセスを制御し、処理中に文書を保護し、一時ファイルの保持期間を制限する安全でプライバシー重視のビューアを使用することで、このリスクを軽減できます。

本稿では、一般的なオンラインコンバータに伴うリスクを概観し、常に混同されがちな二つのものを区別します：無料パブリックビューアのオンラインドキュメントビューアと、SaaSチームが自社製品に組み込むDoconut SDK。これらは同一製品ではなく、異なる課題に答えます。

ファイル変換サービスの脅威環境の理解

洗練されたオンラインコンバータであっても、セキュリティが適切に管理されていなければ機密データが露出する可能性があります。最も一般的なリスクは、非安全な転送、曖昧な保持ポリシー、そして弱いアクセス制御です。

脅威	発生方法	実際の影響
中間者攻撃による傍受	弱いまたは安全でない転送設定により、アップロード中またはアクセス中にファイルが露出する可能性があります。	機密契約書、医療記録、財務報告書、ソースファイルなどが漏洩する恐れがあります。
サードパーティサーバー上の永続的な保存	一部のサービスは、ユーザーに明確な可視性がないまま、アップロードされたファイルを数時間または数日間保持します。	プライバシーリスク、コンプライアンス問題、監査上の懸念が生じます。
埋め込みビューアの分離が不十分	コントロールが不十分な埋め込みプレビュー体験は、不要なスクリプトや不正アクセスへの露出を増大させる可能性があります。	ビューアが適切に分離されていない場合、機密文書の内容がより高いリスクにさらされます。

機密ファイルを取り扱う必要がある SaaS 製品にとって、これらの弱点は重大なビジネス上およびコンプライアンス上の懸念を生じさせます。解決策は単に安全な転送を利用するだけではありません。文書の露出を制限し、アクセスを管理し、プライバシー重視のワークフローをサポートするビューアも必要です。

二つの異なる製品と、ここでの違いの重要性

先に進む前に説明します：オンラインドキュメントビューア は無料のパブリックウェブサイトです。誰でもファイルをアップロードし閲覧でき、セッションが終了するとファイルは削除されます。アカウントやロール、権限、監査ログは存在せず、付与できる対象がいないためです。これは「このファイルを開けない」という問題には有効ですが、「組織内の誰がこの契約書を閲覧できるか」という質問には答えられません。

二つ目の質問に答えるのは Doconut SDK です。同じレンダリングエンジンを自社サーバーにライセンス契約のもと導入し、認証・認可・ストレージ・ロギングを自社アプリケーションで提供します。

本稿の大部分は二つ目の製品についてです。

時間制限付きアクセスが重要な理由

ビューアがウェブアプリケーションに埋め込まれる場合、文書へのアクセス方法がセキュリティ全体の鍵となります。直接的なファイルリンクは実装が簡単ですが、受信者が不要になった後も長期間有効なままです。

より安全なパターンは、短期間で有効なサーバー生成の参照を使用し、1つの文書と1つのセッションに限定し、背後での各リクエストごとに認可チェックを再実行することです。

このパターンは あなたのアプリケーション が実装すべきものです。ビューアコンポーネントの属性でも、パブリックウェブサイトの属性でもありません。オンラインドキュメントビューア にはスコープを設定できるアイデンティティモデルがなく、代わりにセッションが終了するとファイルも同時に削除されます。

自動ファイル削除とプライバシー：確認すべきこと

プライバシー規制や社内のセキュリティポリシーでは、個人情報や機密データを必要以上に保持しないことが求められることが多いです。多くの無料または汎用のコンバータは自動削除を謳っていますが、詳細は必ずしも明確ではありません。一定の遅延後にのみファイルを削除するものもあれば、一時的なコピーを予想以上に長く保持するものもあります。

ドキュメントビューアやコンバータを評価する際は、次の点を確認してください：

アップロードされたファイルがどのくらいの期間利用可能か
閲覧セッション終了後に一時ファイルが削除されるか
バックアップコピーや生のドキュメントログが作成されるか
アクセス履歴が確認できるか
サービスが社内のプライバシーおよびコンプライアンス要件をサポートしているか

このサイトでは、上記5つすべてに対する答えは簡潔です。アップロードは閲覧セッションが終了した時点で削除され、アカウントもライブラリもありません。付随する身元情報がないためアクセス履歴は保持されず、これを裏付ける認証もありません。これは、メールで送るようなファイルに対しては適したモデルですが、ケースファイルには不適切です。

プラグインなしでビューアを埋め込む

ここでは2つの製品が明確に分かれますので、評価対象がどちらか正確に把握してください。

	無料ウェブサイト	Doconut SDK
実行場所	当社サーバー	お客様側
製品に埋め込めるか	いいえ	はい
セルフホスト	いいえ	はい
認証とロール	なし。アカウントはありません	お客様のアプリケーションの
監査ログ	なし	お客様のアプリケーションが記録するもの
保持期間	閲覧セッション終了後に削除	お客様のポリシー
コスト	無料	商用ライセンス
フォーマット	73 の拡張子	18 ファミリーにわたる 75 種類、DICOM を含む

どちらもプラグイン不要でサーバーサイドでレンダリングされるため、ユーザーのマシン上で何も実行されません。リストの他の項目はすべて違いであり、誤った列を選択するとセキュリティレビューがうまくいかなくなります。

安全なSaaSワークフローの実践的統合ヒント

これらは自社製品内に埋め込むビューア、すなわち SDK に適用されます。公開ウェブサイトには適用できません。公開サイトにはお客様のサーバーは関与しません。

1. サーバー側で短命のアクセスを生成する

元のファイルを公開するのではなく、アプリケーション所有のドキュメント ID を解決します。参照を 1 つのドキュメント、1 つの操作、1 つのセッションに紐付け、短い有効期間を設定します。

2. クライアントが必要とするものだけを返す

フロントエンドは閲覧用参照のみを受け取り、ストレージパスや認証情報は受け取らないようにします。

3. サーバー側でロールごとに権限を適用する

あるユーザーは閲覧のみ、別のユーザーは印刷やエクスポートも可能です。ツールバーボタンを隠すのではなく、リクエスト時にサーバー側で強制します。

4. アクセスイベントを記録する

ユーザー、テナント、ドキュメント ID、操作、認可結果、タイムスタンプ。識別子と結果のみを記録し、ドキュメント内容やトークン、ストレージ URL は記録しません。

主なポイント

機密文書は永続的な公開リンクを通じて公開すべきではありません。
ホスト型コンバータに尋ねるべきは暗号化ではなく保持期間です：ファイルはどのくらい保持され、存在中に誰がアクセスできるか。
このサイトの無料ビューアにはアカウントもロールも監査ログもありません。セッション終了後にアップロードを削除し、これがアクセスモデルの全てです。
認可、権限、ロギング、セルフホストが必要なものはすべて SDK の役割であり、アプリケーション内部で実行されます。
プラグイン不要のプレビューはユーザーを製品内に留めますが、埋め込み SDK のみがその環境を提供します。
コンプライアンスの主張は導入されたシステムに属し、コンポーネント単体にはありません。当社は認証を保有しておらず、どちらの製品もそれを変えることはありません。

よくある質問

Q: ユーザーが文書をダウンロードするのを防げますか？

A: このウェブサイトではできません — アカウントもロールも権限モデルもありません。SDK を使用した自社アプリケーションでは、ツールバーは自由に設定でき、サーバー側で各リクエストを認可する必要があります。ボタンを隠すだけではアクセス制御にはなりません。

Q: アプリケーションがクラウドストレージに文書を保存しています。このワークフローは適用できますか？

A: SDK を使用すれば可能です。バックエンドがアプリケーション所有のドキュメント ID をストレージ位置に解決し、ユーザーの権限を確認した上でビューアにファイルを渡します。元のストレージパスはブラウザに渡りません。無料ウェブサイトではこれができません。入力はキーボード操作のユーザーからのファイルアップロードのみです。

Q: 自動ファイル削除だけでコンプライアンスは満たせますか？

A: いいえ。クリーンアップは多くの制御のうちの一つに過ぎず、コンプライアンスはワークフロー、ポリシー、ロギング、アクセス制御、データ取り扱いに依存します。実際に運用している環境で保持動作を確認し、当社の認証がないこと（認証は保有していません）を留意してください。

Q: ユーザーが文書を印刷する必要がある場合は？

A: 無料ビューアは印刷機能がありますが、設定項目も設定者もいません。自社アプリケーションでは、印刷はロールごとの判断として実装し、サーバー側で強制します。

結論

機密ファイルをオンラインコンバータにアップロードすることは、アップロードフォームの問題ではなく、保持期間とアクセスに関する判断です。ファイルがどのくらい保存されるか、誰がアクセスできるか、どこで処理されるかを確認してください。

機密でない一時的なファイルの場合、Online Document Viewer は無料で開き、アカウント不要で、タブを閉じると削除します。自社のSaaS製品内でドキュメントプレビューを行う場合—認証・権限・ストレージを自分で管理し—必要なのはDoconut SDK で、サーバー上で動作し、ドキュメントを外部に送信しません。

2つの製品があります。ドキュメントに合った方を選んでください。