الأمان

متصفحك هو الذي يقرأ كشفك

حين تضع ملف PDF، يفتحه المحوّل — وهو شيفرة JavaScript نزّلها متصفحك مع الصفحة — فيقرأ النص ويبني الجدول. ومع أغلب الكشوف لا يُرسل الملف إطلاقًا، ولا يبقى منه شيء حين تغلق الصفحة. وملف Excel أو CSV يُصنع أيضًا داخل متصفحك ويُحفظ مباشرة في التنزيلات.

هناك حالتان فقط تمرّان بخادمنا. الأولى: كشف لم يستطع متصفحك قراءته، أو لم تتطابق أرصدته، فيعيد المحوّل قراءته تلقائيًا على خادمنا وترى ذلك على الشاشة. والثانية: الكشوف الممسوحة والصور، إذا اخترت ذلك (أما على جهازك فيُنزّل متصفحك محرك Tesseract المفتوح المصدر من شبكة jsDelivr ولا يُرسل شيء). على خادمنا يُوضع الملف في مجلد خاص لا يفتحه إلا برنامج القراءة، ثم يُقرأ في الخلفية ويُحذف فور قراءته؛ والنص المستخرج يبقى مشفّرًا ويُحذف حين يستلمه متصفحك، أو بعد 30 دقيقة على الأكثر.

يضمنه المتصفح، لا مجرد وعد منا

كل صفحة تُرسل مع سياسة أمان المحتوى (Content Security Policy)، وهي تعليمات تخبر متصفحك بالخوادم التي يُسمح للصفحة بالتواصل معها. سياستنا لا تسمح إلا بهذا الموقع وبـ jsDelivr (من أجل محرك OCR). فحتى لو حاول أي كود إرسال كشفك إلى مكان آخر، سيمنعه المتصفح. هذه هي السياسة كما تُرسل:

default-src 'self'; script-src 'self' 'unsafe-inline' 'wasm-unsafe-eval' blob: https://cdn.jsdelivr.net; worker-src 'self' blob: https://cdn.jsdelivr.net; connect-src 'self' blob: data: https://cdn.jsdelivr.net; img-src 'self' data: blob:; style-src 'self' 'unsafe-inline'; font-src 'self' data:; frame-ancestors 'none'; base-uri 'self'; form-action 'self'; object-src 'none'

الموقع يعمل عبر HTTPS فقط (HSTS)، ولا يمكن تضمينه داخل مواقع أخرى، ولا يطلب الوصول إلى الكاميرا أو الميكروفون أو الموقع الجغرافي.

تأكد بنفسك في دقيقة

1. افتح هذا الموقع، ثم أطفئ الواي فاي أو افصل الإنترنت.
2. ضع كشف حساب بصيغة PDF. سيُحوَّل رغم ذلك، وستتمكن من تحميل ملف Excel، لأنه لا شيء احتاج إلى مغادرة جهازك.

أو افتح أدوات المطوّر في متصفحك (F12)، واذهب إلى تبويب الشبكة (Network)، ثم حوّل كشفًا: سترى ملفات الصفحة وعدادات صغيرة باسم /api/event، ولن ترى أي طلب يحمل ملفك.

ما الذي يصل إلى خادمنا

• عدادات استعمال مجهولة الهوية، مثل «تم تحويل كشف، 3 صفحات، 42 سطرًا، الأرصدة متطابقة، تم تحميل Excel»، دون أي اسم أو رقم أو مبلغ أو تاريخ أو بيان أو اسم ملف. ونحسب الزوار ببصمة تتغير كل يوم، دون ملفات تعريف ارتباط.
• الكشوف التي لا نعرف قراءتها بعد — الملف الأصلي مشفّرًا بمعيار AES-256 بمفتاح لا يملكه إلا خادمنا، ونسخة مجهولة الهوية من تصميمه. لا يفتحهما إلا فريقنا لدعم التصميم، ويُسجَّل كل اطّلاع، ويُحذفان بمجرد دعم التصميم أو بعد 14 يومًا على الأكثر.
• الكشوف التي لم يستطع متصفحك قراءتها، والصور والكشوف الممسوحة التي تختار قراءتها على خادمنا — تُحذف بعد قراءتها، إلا الكشف الذي بقي غير مقروء (البند التالي).
• الرسائل التي ترسلها عبر نموذج الاتصال، ولا يصلنا كشف إلا إذا اخترت إرفاقه (ويُحذف بعد 30 يومًا).

كل التفاصيل في سياسة الخصوصية.

الإبلاغ عن ثغرة أمنية

راسلنا على [email protected]. نرد خلال يومي عمل، ونذكر اسم الباحث إن رغب في ذلك. انظر أيضًا security.txt.