Seguridad

1. Ejecución local en tu navegador cuando es posible

La forma más segura de proteger un archivo es no enviarlo. Unir, dividir, organizar, rotar, editar, firmar, numerar, recortar, proteger con AES-256 y muchas herramientas más funcionan por completo en tu dispositivo: el documento nunca sale de él. Cada herramienta muestra si se procesa «En tu navegador», en el servidor o con un motor híbrido.

2. Procesamiento en RAM volátil

• Los archivos viven en un disco en memoria (tmpfs) montado con noexec,nosuid,nodev: nada se escribe en discos persistentes y nada de lo que hay ahí se puede ejecutar.
• Las carpetas de cada trabajo se crean con permisos 0700 y cada contenedor tiene límites de memoria y de procesos.
• El servidor no tiene puertos abiertos a internet: solo se alcanza por un túnel cifrado de Cloudflare. Los motores que analizan archivos viven en una red interna aislada, sin salida a internet; la única excepción controlada es el OCR Avanzado (PRO), que llega a Google Cloud Vision a través de un proxy interno autenticado.

3. Guardia de entrada, antivirus y desarme (CDR) en sandbox

• Guardia de magic bytes: se comprueba la firma binaria real del archivo (PDF, ZIP/OOXML, OLE2, RTF), no su extensión.
• Anti zip-bomb: los documentos comprimidos se inspeccionan sin descomprimirlos y se rechazan si superan 250 MB descomprimidos, una relación de 100:1 o 2500 entradas.
• Antivirus ClamAV: cada archivo se analiza en memoria antes de procesarse, también antes de abrirse en el editor en vivo (PRO).
• Desarme activo (CDR) de PDF: se eliminan JavaScript, acciones de apertura y automáticas (/OpenAction, /AA), /Launch, archivos incrustados, contenido multimedia (/RichMedia) y formularios XFA. Los PDF resultantes se vuelven a desarmar antes de entregarse.
• Desarme de documentos Office: se eliminan macros VBA, controles ActiveX, objetos OLE incrustados, campos DDE y relaciones externas peligrosas (plantillas remotas, rutas locales o de red); solo sobreviven los hipervínculos públicos. Se rechaza cualquier XML con entidades externas (XXE).
• Sandbox: cada análisis de un archivo no confiable corre en un subproceso aislado con su propio grupo de procesos y un plazo estricto (15 s para el desarme, 60 s para conversiones y 180 s para tareas pesadas). Si se pasa del plazo, se mata el grupo entero.

4. Purga inmediata y borrado automático

• Al terminar el procesamiento, el archivo original (in/) y los temporales (work/) se borran en el acto.
• Si un archivo no supera los controles de seguridad, se purga todo el trabajo de inmediato.
• Los resultados (out/) caducan al cumplirse 60 minutos y un barrido automático, cada 5 minutos, los elimina; también puedes borrarlos al instante con «Borrar ahora del servidor».
• Los fragmentos indexados para las herramientas de IA caducan a las 24 horas o al borrar la sesión.

Reportar una vulnerabilidad

Si encuentras un fallo de seguridad, escríbenos a [email protected] con los detalles para reproducirlo. Lo investigaremos con prioridad y te mantendremos informado; te pedimos no divulgarlo hasta que esté corregido. Más detalles sobre el tratamiento de datos en la Política de Privacidad.