Sicurezza
Il posto più sicuro per un estratto conto è il computer su cui si trova già. StatementEasy è fatto perché resti lì.
Il tuo estratto conto viene letto dal tuo browser
Quando trascini un PDF, il convertitore — JavaScript che il tuo browser ha scaricato con la pagina — lo apre, legge il testo e costruisce la tabella. Per la maggior parte degli estratti il file non viene caricato affatto, e non resta nulla quando chiudi la scheda. Anche il file Excel o CSV viene creato nel tuo browser e salvato direttamente nei download.
Due casi passano dal nostro server. Primo, un estratto che il tuo browser non è riuscito a leggere, o i cui saldi non tornano, viene riletto automaticamente sul nostro server, e lo vedi accadere sullo schermo. Secondo, estratti scansionati e foto, se lo scegli tu. Puoi leggerli su questo dispositivo (il tuo browser scarica il motore open source Tesseract dalla CDN jsDelivr e non si invia nulla) oppure sul nostro server, che usa modelli di riconoscimento migliori. Sul nostro server il file resta in una cartella privata che solo il processo di lettura può aprire, viene letto da un processo in background e cancellato appena letto; il testo riconosciuto viene cifrato e cancellato quando il tuo browser lo ritira, al più tardi dopo 30 minuti.
Garantito dal browser, non solo promesso
Ogni pagina viene servita con una Content Security Policy, un’intestazione che dice al tuo browser con quali server la pagina può comunicare. La nostra consente solo questo sito e jsDelivr (per il motore OCR). Anche se uno script provasse a inviare il tuo estratto altrove, il browser lo bloccherebbe. Questa è la politica, così come viene inviata:
default-src 'self'; script-src 'self' 'unsafe-inline' 'wasm-unsafe-eval' blob: https://cdn.jsdelivr.net; worker-src 'self' blob: https://cdn.jsdelivr.net; connect-src 'self' blob: data: https://cdn.jsdelivr.net; img-src 'self' data: blob:; style-src 'self' 'unsafe-inline'; font-src 'self' data:; frame-ancestors 'none'; base-uri 'self'; form-action 'self'; object-src 'none'
Il sito funziona solo in HTTPS (HSTS), non può essere incorporato in altri siti e non chiede accesso a fotocamera, microfono o posizione.
Verificalo da solo in un minuto
- Apri questo sito, poi spegni il Wi-Fi o stacca la rete.
- Trascina un estratto conto PDF. Viene convertito lo stesso, e puoi scaricare lo stesso il file Excel — perché nulla doveva lasciare il tuo dispositivo.
Oppure apri gli strumenti per sviluppatori del browser (F12), vai alla scheda Rete e converti un estratto: vedrai i file della pagina e piccoli contatori /api/event, ma nessuna richiesta che contiene il tuo file.
Cosa arriva al nostro server
- Contatori d’uso anonimi — per esempio «è stato convertito un estratto, 3 pagine, 42 righe, saldi corretti, Excel scaricato». Nessun nome, numero, importo, data, descrizione o nome di file. I visitatori vengono contati con un hash che cambia ogni giorno, senza cookie.
- Estratti che il tuo browser non è riuscito a leggere, e scansioni o foto che scegli di leggere sul nostro server — cancellati dopo la lettura, tranne un estratto che non sappiamo ancora leggere (punto successivo).
- Estratti che non sappiamo ancora leggere — il file originale, cifrato con AES-256 con una chiave che ha solo il nostro server, e una copia anonima del suo layout. Aperti solo dal nostro team per supportare il layout, ogni accesso registrato, e cancellati appena il layout è supportato, al più tardi dopo 14 giorni.
- I messaggi che invii tramite il modulo di contatto, e un estratto solo se scegli di allegarlo lì (cancellato dopo 30 giorni).
Tutti i dettagli sono nell’informativa sulla privacy.
Segnala una vulnerabilità
Scrivi a [email protected]. Rispondiamo entro due giorni lavorativi e citiamo i ricercatori che desiderano essere citati. Vedi anche security.txt.