Premium editie

Voor security- en compliance-teams

In één oogopslag

Jij bent de reviewer die zijn handtekening onder een PDF-engine moet zetten. Deze pagina beschrijft de security- en compliance-positie van NextPDF in de termen die je later moet verdedigen: wat aan welke standaard is gekoppeld, wat fail-closed wordt gehandhaafd en waar de grenzen liggen. Eén regel beheerst elke claim: capaciteit, nooit certificering. NextPDF bezit geen certificering en verleent er geen. Het produceert de structuren die een standaard definieert; een onafhankelijke validator of ontvangende autoriteit beslist of een specifiek bestand conform is. Support is geen conformiteit, conformiteit is geen certificering, en elke standaarden-onderbouwde claim hieronder draagt ofwel een citaat, ofwel een link naar de pagina die de claim bezit.

Beschikbaarheid & licenties

Deze gids behandelt beide commerciële edities - NextPDF Pro (nextpdf/pro) en NextPDF Enterprise (nextpdf/enterprise); zie de feature matrix voor beschikbaarheid per editie. Beide worden geactiveerd met een licentie-envelop; een deployment zonder de bijbehorende entitlement laadt de premium-klassen van die editie niet. Vergelijk edities en verkrijg een licentie.

Wat je koopt

In dertig seconden: een PHP 8.4-engine waarvan de premium-edities de security-stack toevoegen die gereguleerde documentworkflows nodig hebben. Ondertekening volgt de PAdES baseline-profielen (B-B tot en met B-LTA); een fail-closed verify-side rapporteert in de status-taxonomie van ETSI EN 319 102-1. Archiveringsuitvoer richt zich op PDF/A-4, e-facturering volgt EN 16931, en een FIPS-mode policy beperkt crypto-keuzes tot een goedgekeurde set met een power-on self-test. Bewijsvlakken produceren verzegelde, deterministische audit-artefacten. De open core is Apache-2.0 en volledig inspecteerbaar; de standaardenkaart is Compliance en conformiteit.

De vragen die we het meest horen

Is NextPDF gecertificeerd tegen deze standaarden?

Nee, en we zullen niet suggereren dat het anders is. NextPDF is gebouwd om de standaarden-gekoppelde structuren en het bewijs te produceren; dat is een capaciteitsclaim, geen oordeel. Een schone run van een onafhankelijke validator is bewijs van conformiteit voor een specifiek bestand; de eigen markeringen van een producent zijn dat nooit (ISO 19005-4 §6.7.3). Zie de conformiteitssectie.

Houden hier geproduceerde handtekeningen stand onder eIDAS?

NextPDF produceert handtekeningen die conform zijn aan de PAdES baseline-profielen (ETSI EN 319 142-1). Onder eIDAS mag een elektronische handtekening geen rechtsgevolg worden ontzegd louter omdat deze elektronisch is (Regulation (EU) No 910/2014, Art. 25(1)), en een gekwalificeerde handtekening heeft het rechtsgevolg van een handgeschreven handtekening (Art. 25(2)). Het voorbehoud: kwalificatie en rechtspositie komen voort uit het certificaat, de trust service en het rechtsgebied — buiten elke library, de onze inbegrepen. Enterprise classificeert EU trusted-list-bewijs in assurance-niveaus met auditeerbare reason codes — een classificatie, nooit een verlening van kwalificatie (eIDAS assurance-niveaus).

Hoe eerlijk is de verify-side?

Bewust bot. Verificatie is bewijsgebaseerd en fail-closed: een niet-ondersteund algoritme, een ontbrekend trust anchor of een onbewijsbare controle is een afwijzing, nooit een stille pass. Uitkomsten gebruiken de taxonomie van EN 319 102-1 — TOTAL-PASSED, TOTAL-FAILED of INDETERMINATE — zonder een zachtere vierde toestand (Clause 3.1). Het archiverings-instappunt waar je auditors om zullen geven, is NextPDF\Enterprise\Security\Validation\AdESValidationEngine::validateArchivalTimestampChain():

public function validateArchivalTimestampChain(
    string $pdfBytes,
    array $dssData = [],
    ?TrustAnchorStoreInterface $anchors = null,
): ValidationReport;

Gooit of faalt met: geen exception bij een slechte keten — het retourneert een gemapte INDETERMINATE of TOTAL_FAILED ValidationReport (structurele defecten mappen naar een format-failure). TOTAL_PASSED vereist een complete, trust-anchored keten die het bestand tot aan zijn end-of-file-marker dekt; zonder geconfigureerde trust anchors is elke keten untrusted — nooit een pass. Volledig gedrag: Handtekeningverificatie.

Is NextPDF FIPS 140-3-gevalideerd?

Nee. FIPS 140-3-validatie wordt door de CMVP aan cryptografische modules verleend via geaccrediteerde tests; NextPDF is geen gevalideerde module en doet geen FIPS-certificeringsclaim. Enterprise levert een FIPS-mode-capaciteit: strikte en standaard policy-presets, een runtime guard die elke hash, signature-OID en key-sterkte controleert voordat een operatie draait, en een power-on known-answer self-test die fail-closed is en gelatcht blijft tot een process-restart. De boot gate is één call:

public function assertOperational(): void

Gooit of faalt met: FipsModuleErrorStateException wanneer een known-answer test faalde of het proces eerder een error-state heeft gelatcht; de runtime guard werpt FipsViolationException bij elke niet-toegestane keuze. Voor een FIPS-compatibele deployment-claim lever jij de gevalideerde boundary — een FIPS-gevalideerde OpenSSL-provider of HSM. Details: FIPS 140-2/3-policy en self-test en HSM- en FIPS-validatie.

Belt het naar huis? Kunnen we verifiëren en air-gappen wat we deployen?

Per leveringskanaal, gedocumenteerd in plaats van ontdekt. Het ionCube-encoded kanaal verifieert zijn licentie periodiek online: ongeveer een controle om de 7 dagen die een lease van ongeveer 14 dagen verlengt. Offline voorbij de lease pauzeren de premium-features en valt de engine terug op de gratis Core — het crasht niet — en ze hervatten bij herverbinding. Een controle verstuurt alleen een licentie-identifier en een gesalte fingerprint-hash, nooit documentinhoud, een ruwe fingerprint of een IP-adres-payloadveld. (Zoals bij elk HTTPS-verzoek stelt de transportlaag noodzakelijkerwijs een bron-IP bloot aan de infrastructuur van het licensing-endpoint - netwerkmetadata, geen payload.) Het signed-source-kanaal verifieert zijn licentie lokaal, heeft geen periodieke connectiviteit nodig en past bij air-gapped deployments; een puur offline deployment verstuurt helemaal niets. Hoe dan ook is de failure-mode degradatie naar de open-source Core, nooit een brick (Twee leveringskanalen).

Voor supply-chain-review levert het signed-source-kanaal leesbare PHP-broncode, cryptografisch ondertekend zodat je kunt verifiëren dat deze echt en ongewijzigd is vóór gebruik — de control die OWASP beschrijft als het ondertekenen van artefacten met validatie vóór gebruik. Het ionCube-kanaal levert encoded PHP die door de ionCube Loader draait; encoded builds zijn niet bron-reviewbaar - gebruik het signed-source-kanaal wanneer bronreview vóór gebruik of verificatie van de artefact-handtekening vereist is. De leesbare broncode wordt pas vrijgegeven nadat je de licentieovereenkomst hebt getekend in je account, en blijft PATEON’s vertrouwelijke handelsgeheim onder de EULA — het lezen ervan is nooit toestemming om het te kopiëren of te herdistribueren (Licenties).

Hoe zit het met post-quantum en C2PA?

Beide bestaan, en beide zijn previews — standaard uit, fail-closed en zonder enige conformiteitsclaim. Het post-quantum HSM-ondertekeningsvlak (signPqs, gerapporteerd door PqsCapabilityStatus) is opt-in achter een per-signer-flag en een process-env-flag; het is niet GA, niet AdES, niet FIPS-gevalideerd, en NextPDF levert geen post-quantum verificatiepad. Het C2PA-vlak draagt in beide richtingen een door de caller aangeleverde manifest store, terwijl concept-manifestsynthese achter een standaard-uit-flag zit; C2paCapabilityStatus codeert generallyAvailable en conformanceClaimed hard op false. Grenzen: PQC-preview, C2PA-preview.

Hoe worden kwetsbaarheden afgehandeld?

Via een gepubliceerd coordinated-disclosure-beleid: private intake, een RFC 9116 security.txt-vlak, triage-gedreven tijdlijnen en een begrensd embargo — afgestemd op ISO/IEC 29147 en ISO/IEC 30111, een procescommitment, geen garantie (Beleid voor kwetsbaarheidsmelding).

Welk audit-bewijs kunnen we daadwerkelijk produceren?

Drie vlakken. Evidence verzegelt validatiebevindingen in een onveranderlijk pakket met een deterministische JSON-vorm, een stabiele SHA-256-digest en een optionele RFC 3161-timestamp — WORM-ready, uitdrukkelijk geen juridische attestatie (Evidence). Forensics rapporteert de geparste incremental-update-structuur zonder integriteit te certificeren (Forensics). Validatierapporten dragen archiveerbare per-check-bevindingen. Audit-serialisatie redacteert signer-identiteitsvelden standaard — GDPR-dataminimalisatie (Art. 5(1)(c)) toegepast op audit-uitvoer (Gegevensverwerking).

Vereistenchecklist

Jouw vereiste	NextPDF kan	NextPDF kan niet / grens	Onderbouwing
PAdES-handtekeningen met long-term-niveaus	B-B, B-T, B-LT, B-LTA produceren volgens ETSI EN 319 142-1 (Core/Pro: B-B en B-T; Enterprise voegt B-LT en B-LTA toe)	Rechtspositie verlenen; dat hangt af van certificaat, trust service, rechtsgebied	eIDAS Art. 25(1)/(2); Compliance
Cryptografische handtekeningverificatie	CMS- en RFC 3161-tokens fail-closed verifiëren; `TOTAL-PASSED` / `TOTAL-FAILED` / `INDETERMINATE` rapporteren	Een niet-ondersteund algoritme of een niet-anchored keten laten passeren; er bestaat geen zachter oordeel	ETSI EN 319 102-1 Clause 3.1
PDF/A-4-archiveringsuitvoer	De structuren produceren die het profiel vereist, met het identification-schema gedeclareerd	Conformiteit zelf-certificeren; een validatieproces buiten de producent beslist	ISO 19005-4 §6.7.3
EN 16931-e-facturering	Core-model-instances produceren en valideren; ZUGFeRD / Factur-X hybride uitvoer	Optreden als validator van een belastingautoriteit; nationale extensies vallen buiten scope	EN 16931-1 Scope; Pro compliance
FIPS 140-3-assurance	Een FIPS-mode policy, runtime guard en fail-closed power-on self-test handhaven	Een gevalideerde module zijn; jij levert de CMVP-gevalideerde provider of HSM	FIPS 140-3 (CMVP); FIPS-pagina
Air-gapped werking	Volledig offline draaien op het signed-source-kanaal, licentie lokaal geverifieerd	Het ionCube-kanaal offline draaien voorbij zijn lease van ~14 dagen; het pauzeert naar Core	Leveringskanalen
Supply-chain-verificatie van het artefact	Handtekening-geverifieerde leesbare broncode leveren die je vóór gebruik kunt reviewen	Het encoded ionCube-artefact bron-reviewbaar maken; kies het kanaal dat past	OWASP Cheat Sheet Series (artifact integrity)
Privacy-veilige audit trails	Signer-PII standaard redacteren uit geserialiseerde audit-uitvoer	Beslissingen over rechtsgrond of dataresidentie nemen voor jouw deployment	GDPR Art. 5(1)(c); Gegevensverwerking
PDF/UA-toegankelijkheid	PDF/UA-2 language-tag-events fail-closed rapporteren, met machine-leesbare redenen	Volledige PDF/UA-conformiteitscontrole claimen of toegankelijkheid certificeren	Pro compliance
Post-quantum ondertekening vandaag	Alleen preview: HSM-gedelegeerd ML-DSA / SLH-DSA achter twee standaard-uit-flags	GA-, AdES-conforme of verifieerbare post-quantum handtekeningen bieden	PQC-preview
Kwetsbaarheidsmeldingsproces	Meldingen privaat aannemen, triëren op ernst, disclosure coördineren	Een fix, een CVE of een disclosure-datum garanderen; het is een procescommitment	Disclosure-beleid

Risico & mitigatie

Certificeringsrisico. NextPDF bezit geen certificering en verleent er geen. Mitigatie: valideer uitvoer onafhankelijk en archiveer de verzegelde evidence-pakketten als je audit trail.
FIPS-grens. De FIPS-mode policy ondersteunt compliance; de gevalideerde boundary is de module die jij configureert. Zonder een CMVP-gevalideerde provider of HSM is geen FIPS-compatibele deployment-claim houdbaar.
Rechtsgevolg-grens. De rechtspositie van een handtekening is jurisdictioneel. De eIDAS-vlakken stellen classificaties over gepubliceerd bewijs; raadpleeg je eigen juridische adviseurs voor regelgevende verplichtingen.
Preview-features. PQC- en C2PA-synthese zijn standaard-uit previews zonder conformiteitsclaim en, voor PQC, zonder verificatiepad. Houd ze uit in productie.
ionCube-connectiviteit. De licentie-lease van het encoded kanaal heeft periodieke bereikbaarheid nodig. Als dat onaanvaardbaar is, kies dan signed source bij aankoop.
Fail-safe-houding. Een verlopen ionCube-lease of een handhavingsfout valt terug op de open-source Core; het brickt nooit. Het einde van een abonnement is iets anders: een grace-periode van ongeveer 30 dagen, daarna permanente fallback - de geïnstalleerde premium-entitlement blijft draaien, zonder verdere updates (Licenties en activering).

Wat je vervolgens moet aanvragen

Evalueer met de volledige featureset. Een evaluatie-grant draait elke capaciteit achter een verwijderbaar watermerk; een trial van 14 dagen (één per e-mail, vandaag geen kosten, geen automatische verlenging) start vanaf je account. Begin bij het licentieportaal.
Vraag de licentie-envelop aan voor een pilot. Deze benoemt editie en entitlements en activeert per deployment zonder wijziging aan applicatiecode (Licenties en activering). Aankopen lopen via onze Merchant of Record; de licentie wordt verleend door PATEON onder de EULA, en de terugbetalingsvoorwaarden staan in het Refund & Cancellation Policy (Kopen en licenties).
Verzamel validatiebewijs. Module-validatiebewijs komt van je HSM- of OpenSSL-provider-vendor, per je provider-klasse (HSM- en FIPS-validatie); vraag NextPDF om integratiebewijs, en scope een pilot die je trust anchors, validator en air-gap-behoeften uitoefent.