PDFreevert 文件安全
PDFreevert 使用服务端基础设施处理文档。我们的安全架构依靠严格的访问边界、自动化临时存储、独立任务执行和透明的运行说明，而不是声称文件永远不会离开你的浏览器。
- 传输保护
- HTTPS/TLS
- 静态加密
- AES-256
- 文件保留时间
- 3小时
- 所有转换都在浏览器中完成吗？
- 不是。大多数工具使用服务端后台处理。
- PDFreevert 使用端到端加密吗？
- 不使用。HTTPS 加密传输中的数据，R2 对存储对象进行静态加密，但我们的服务器必须临时读取文件才能完成转换。
- 上传的文件可以被公开访问吗？
- 不可以。源文件和结果文件存放在私有对象存储桶中，只有经过认证的服务凭据才能访问。
- 文件会保留多久？
- 源文件和结果文件在3小时后到期；清理程序每1小时运行一次。
- 下载链接的有效期是多久？
- 下载链接在10分钟后失效。链接失效和文件对象删除分别管理。
- 用户可以立即删除文件吗？
- 目前不可以。文件由定时清理程序删除，或在通过联系我们页面提出请求并完成核验后手动删除。
- PDFreevert 是否拥有正式安全认证？
- 没有。PDFreevert 目前不声称拥有 ISO 27001、SOC 2、HIPAA、PCI DSS 或 eIDAS 认证。
文件处理流程
标准文档处理遵循以下流程：
- 在浏览器中选择和校验文件
- 通过 HTTPS 上传到 PDFreevert API
- 存入 Cloudflare R2 私有源文件对象
- 进入处理服务器的独立工作目录
- 执行格式转换或 PDF 操作
- 将结果存入 Cloudflare R2 私有对象
- 通过已授权的短时效链接下载
- 定时到期并自动清理
运行元数据与文件内容分开存储。文件内容位于临时对象存储中，元数据则单独记录在应用数据库中。删除文件对象不会自动删除不含文件内容的系统日志。
传输加密
我们的网站和 API 强制使用 HTTPS/TLS 加密。TLS 保护浏览器与 PDFreevert 之间的通信，也保护处理 Worker 与云存储之间的内部通信。
TLS 提供传输层保护。这不等同于端到端加密，文件在处理期间并不会始终以仅由用户持有的密钥加密。
静态加密与存储位置
上传文件和转换结果存储在 Cloudflare R2 中。根据 Cloudflare 文档，R2 对象及其元数据会自动使用 AES-256 进行静态加密，密钥由服务提供商管理。
我们的存储桶使用亚太地区位置提示。位置提示以尽力而为的方式优化路由性能，并不保证数据严格驻留在某一司法辖区。
应用数据库存储任务元数据、系统日志和支持请求，不存储文件内容。
服务端临时处理
每个转换任务都在处理服务器的独立临时工作目录中执行。工作目录采用受限的文件系统权限，并在任务成功完成后自动删除。
Worker 工作目录与对象存储的生命周期分别管理。如果处理 Worker 意外崩溃，对象存储的清理机制仍然保留，恢复日志会帮助完成系统清理。
访问控制架构
PDFreevert 不会向客户端浏览器暴露数据库凭据、存储密钥或签名密钥。
我们的访问控制包括：
- 用于 API 访问的短时效签名会话凭据；
- 上传会话令牌的明文仅由浏览器持有，数据库只保存其 SHA-256 哈希；
- 通过加密校验关联上传会话、处理任务和结果下载；
- 用于下载结果的短时效签名 URL；
- 对 API 接口和任务创建实施严格限流；
- 通过全局队列限制防止资源耗尽攻击。
任何持有未过期会话令牌或签名 URL 的人都可能下载对应结果。用户应保护这些链接，避免公开分享。
文件校验与网络防护
PDFreevert 在接受上传前检查文件扩展名、大小限制和二进制签名。各工具还会对页数、文件数量和密码参数设置额外限制。
通过 Dropbox 或公开 URL 导入时，API 仅接受 HTTPS 地址，并限制重定向、阻止私有网络 IP、限制文件大小，以降低服务端请求伪造（SSRF）风险。这些检查能够防范常见攻击方式，但复杂文件格式仍被视为不可信输入。
保留时间与自动删除
文件配置为上传后3小时到期。自动清理 Worker 每1小时扫描存储桶，批量删除已到期对象。
主要保留原则：
- 到期时间决定对象何时符合清理条件；
- 清理计划决定实际执行删除的时间；
- 临时网络错误可能使对象删除推迟到下一个清理周期；
- 有效期为10分钟的签名下载 URL 会早于底层存储对象的清理时间失效。
支持请求和反馈记录在数据库中保留 365 天。运行日志和元数据遵循独立的保留计划。
日志与隐私边界
系统日志记录运行状态，包括 HTTP 方法、不含查询参数的脱敏路径、响应码、处理时间、请求 ID 和客户端 IP 地址。系统日志不记录请求正文、文件内容、密码、原始会话令牌、下载 URL 或支持消息。
Google Analytics 数据收集遵循隐私政策规定的地区同意规则。统计事件不包含文件名、文档文字、任务 ID、下载链接、密码或客户支持信息。
第三方基础设施安全
PDFreevert 使用专业基础设施提供商：Cloudflare 提供 R2 存储和 D1 数据库；服务器托管商运行处理 Worker；Resend 负责事务邮件投递；Google 和 Dropbox 提供云端身份认证流程。
我们会安全地配置这些服务，但第三方基础设施仍受各提供商自身的运行政策和安全控制约束。
安全保障范围
PDFreevert 是独立开发的软件工具。目前我们不公开第三方渗透测试结果、SOC 2 报告、ISO 27001 认证、HIPAA 证明、PCI DSS 合规证书或 eIDAS 信任认证。
用户应根据本页明确说明的技术控制评估 PDFreevert，而不是假设本站拥有企业级合规认证。
用户安全建议
遵循以下建议可以降低文档处理风险：
- 只上传你有权处理的文件。
- 在可行的情况下，上传前移除敏感或机密个人数据。
- 保留所有原始文档的本地备份。
- 转换完成后尽快下载结果。
- 不要分享临时会话令牌或签名下载 URL。
- 及时更新浏览器，并保护本地设备。
- 通过联系我们页面报告安全异常、泄漏的链接或漏洞。
漏洞报告
请将安全问题发送至 support@pdfreevert.com，或在联系我们页面选择“安全”类别。
请提供受影响的工具名称、UTC 时间、浏览器版本、错误代码和可重复的测试步骤。不要附加真实机密文档、仍在使用的密码或有效 API 密钥，尽可能使用合成测试文件。
我们会及时调查善意报告，前提是测试不损害用户隐私或服务可用性。