Sicherheit

Dateien werden auf deinem Gerät verarbeitet

Jedes Tool läuft in deinem Browser. Die Datei-Bytes werden nie übertragen, also gibt es keinen Upload, der abgefangen werden könnte, keine Kopie auf einem Server, in die eingebrochen werden könnte, und keine Aufbewahrungsfrist, bei der etwas schiefgehen könnte. Das ist eine Eigenschaft davon, wo der Code läuft, und keine Richtlinie, der wir dich zu vertrauen bitten.

Es begrenzt auch die Folgen einer Kompromittierung unserer Infrastruktur. Ein Angreifer, der unsere Webserver übernähme, könnte dir anderes JavaScript ausliefern; einen Bestand an Dokumenten von irgendjemandem bekäme er nicht, weil es diesen Bestand nicht gibt.

Eingaben werden geprüft, bevor irgendetwas sie parst

Der Dateityp wird durch Lesen der Bytes bestimmt, nie durch Vertrauen auf die Dateiendung oder den MIME-Typ, den dein Browser meldet. Beides kann ein Angreifer steuern, und eine Datei namens .pdf, die etwas völlig anderes ist, ist der älteste Trick in dieser Kategorie.

Bevor eine Datei eine Engine erreicht, lesen wir außerdem ihren Header – innerhalb einer festen Byte-Obergrenze –, um Seitenzahl und Bildabmessungen festzustellen, und lehnen alles ab, was über die Grenzen hinausgeht. Die Größe in Bytes allein ist kein sicheres Maß: Eine 4-MB-PDF kann eine halbe Million Seiten enthalten, und ein 40-KB-PNG kann zu Gigabytes an Bitmap dekodiert werden. Beide bestehen eine Größenprüfung und erschöpfen dann den Rechner.

Diese Prüfungen laufen an zwei Stellen, die einander nicht vertrauen: in deinem Browser und noch einmal neben der Engine.

Engines und die Lieferkette

Verarbeitungs-Engines werden von unserem eigenen Origin ausgeliefert statt von einem CDN eines Drittanbieters, mit Subresource-Integrity-Hashes, die für jede Version hinterlegt sind. Ausführbaren Code von fremder Infrastruktur in Seiten auszuliefern, die rechtliche Dokumente verarbeiten, ist ein Risiko, das wir nicht eingehen wollen – für einen geringen Caching-Vorteil, den Browser ohnehin nicht mehr bieten.

Engine-Lizenzen werden im Build geprüft. Ein Build, der ein Tool an eine Engine bindet, deren Lizenz nicht freigegeben wurde, schlägt fehl, statt ausgeliefert zu werden.

Grenze der Statistik

Optionale Statistikskripte sind im ursprünglichen Dokument nicht enthalten und werden erst nach einer ausdrücklichen Statistik-Entscheidung geladen. Google Analytics ist der einzige Statistikdienst; ToolsVerse betreibt keinen eigenen Statistik-Endpunkt und keine eigene Statistikdatenbank.

Ein Widerruf der Einwilligung deaktiviert die künftige Erfassung durch Google Analytics und lässt zugängliche Statistik-Cookies ablaufen. Statistikereignisse enthalten nie Datei-Bytes, Namen, extrahierte Inhalte oder erzeugte Ergebnisse.

Die Teile, die doch auf einem Server laufen

Zu sagen „alles passiert in deinem Browser“ ergäbe eine aufgeräumtere Seite und eine weniger ehrliche. Die Tools laufen clientseitig; die Website drumherum nicht ganz. Drei Wege nehmen etwas an, das du eingegeben hast, und speichern es: das Kontaktformular, ein Tool-Vorschlag und eine Stimme auf dem Vorschlags-Board. Keiner davon nimmt eine Datei an, und es gibt nirgends auf der Website einen Upload-Endpunkt, den eine Datei erreichen könnte.

Was das für dich bedeutet, ist begrenzt und verdient es, klar gesagt zu werden. Ein Angreifer, der diese Datenbank erreichte, fände Kontaktnachrichten, Tool-Vorschläge und die dazugehörigen E-Mail-Adressen. Er fände kein Dokument, keine Tabelle, kein Bild und kein Video, weil diese nie gesendet wurden. Die Datenschutzerklärung listet die genauen Felder auf, die jeder Weg speichert.

Was wir nicht behaupten

Clientseitige Verarbeitung schützt deine Dateien vor uns. Sie schützt sie nicht vor deinem eigenen Gerät: Schadsoftware auf deinem Rechner oder eine kompromittierte Browsererweiterung mit der Berechtigung, Seiteninhalte zu lesen, kann alles sehen, was du hier öffnest – genau so, wie sie alles sehen kann, was du anderswo öffnest.

Ein Wasserzeichen ist eine Absichtserklärung, keine Sicherheitsmaßnahme. Ein Passwort, das aus einer PDF entfernt wurde, die dir gehört, ist für alle entfernt, die diese Datei danach erhalten.

Eine Sicherheitslücke melden

Schreib an security@tools-verse.com. Bitte gib uns eine angemessene Frist, ein Problem zu beheben, bevor du es öffentlich machst. Wir bestätigen den Eingang, halten dich über die Behebung auf dem Laufenden und nennen dich namentlich, wenn du genannt werden möchtest.

Besonders interessiert uns alles, was dazu führen würde, dass eine Datei das Gerät eines Nutzers verlässt, alles, was die oben beschriebene Eingabeprüfung aushebelt, und alles, womit eine Seite beeinflussen könnte, was eine andere Seite ausführt.