Central de confiança

Visão geral

Esta é a central de confiança do mecanismo principal do NextPDF. Comece por aqui para acessar quatro documentos: o modelo de ameaças do mecanismo, o modelo de segurança de assinatura e criptografia, o comportamento de tratamento de dados e de informações de identificação pessoal (PII) e a política de divulgação de vulnerabilidades. Cada página descreve uma parte específica de como a biblioteca se comporta e onde termina a responsabilidade da biblioteca e começa a responsabilidade da implantação.

Limite. Esta página e as páginas vinculadas a partir dela descrevem a postura de engenharia: as escolhas de projeto, os padrões e as mitigações incorporados ao mecanismo principal e verificados pela respectiva suíte de testes. Elas não são uma certificação, um relatório de auditoria nem uma garantia legal. Nenhuma afirmação aqui declara que a biblioteca é “segura” quando implantada. A segurança é uma propriedade do sistema como um todo: custódia das chaves, política do verificador, rede e práticas operacionais, não de uma única dependência.

Instalação

A postura de confiança descrita aqui se aplica ao mecanismo principal:

composer require nextpdf/core:^3

Nenhum pacote adicional é necessário para ler estas páginas. A suíte de testes do mecanismo principal, incluída no mesmo pacote, exercita os comportamentos descritos nelas.

Visão conceitual

A central de confiança é organizada em torno de um princípio simples: uma página de documentação deve declarar o que o mecanismo faz e o que ele não promete. Essa superfície é dividida nas quatro subpáginas a seguir:

Modelo de ameaças — as classes de ataque que o mecanismo considera (falsificação de requisição do lado do servidor (SSRF), processamento de entidade externa de XML (XXE), bombas de descompressão, travessia de caminho e injeção de conteúdo), a postura de negação por padrão e as proteções no código que mitigam cada classe. Ele documenta as ameaças consideradas. Não afirma a ausência de vulnerabilidades.
Modelo de segurança — a superfície criptográfica: criptografia de documentos com Advanced Encryption Standard de 256 bits (AES-256), o fato de que os bits de permissão do Portable Document Format (PDF) dependem da cooperação do leitor e o fluxo de assinatura Cryptographic Message Syntax (CMS)/PDF Advanced Electronic Signatures (PAdES) B-B e B-T. Ele explica por que oferecer suporte a um mecanismo não é o mesmo que garantir segurança na implantação.
Tratamento de dados — quais dados a biblioteca lê, mantém em memória e grava; a transformação que remove PII aplicada aos pacotes de auditoria; e o caminho de telemetria opcional e sem sobrecarga. Ele descreve o comportamento da biblioteca, não a residência de dados no nível da implantação.
Divulgação — o processo coordenado de divulgação de vulnerabilidades: canais privados de recebimento, metas de prazo para resposta e o modelo de embargo. É um compromisso de processo, não uma garantia de resultado.

Cada página exibe suas afirmações normativas como uma tabela de afirmação → id-de-cláusula + reference_id, gerada a partir do bloco citations: do front-matter. Você pode rastrear a base normativa de cada afirmação.

Superfície da API

Não aplicável. A central de confiança é documentação. As interfaces de programação de aplicações (APIs) que sustentam o comportamento descrito são tratadas nas páginas de referência dos módulos (/modules/core/security/, /modules/core/audit/) e não são listadas novamente aqui. Esta página direciona você às facetas de confiança, não a símbolos.

Exemplo de código — Início rápido

Não aplicável. Esta é uma página de índice. Ela não afirma nenhum comportamento executável. As subpáginas que descrevem o comportamento em tempo de execução incluem exemplos de código quando o mecanismo principal pode demonstrar esse comportamento.

Exemplo de código — Produção

Não aplicável. Consulte as subpáginas.

Casos extremos e pegadinhas

Uma página de confiança não é um contrato. Ler estas páginas não concede uma garantia. A licença (Apache-2.0) prevalece, e sua isenção de garantia se aplica integralmente.
A postura é versionada. Os padrões e as proteções descritos aqui correspondem aos da versão principal estável atual. Uma versão principal mais antiga pode ter um padrão menos restritivo. A política de segurança registra quais versões principais recebem correções.
“Suporte” é uma armadilha recorrente. Em toda a central de confiança, oferecer suporte a um perfil ou mecanismo nunca é o mesmo que estar em conformidade com esse perfil ou ter segurança na implantação. Cada página reafirma esse limite em seus próprios termos.

Desempenho

Não aplicável. A documentação não tem custo em tempo de execução. As páginas de módulo pertinentes documentam os limites de desempenho das operações de segurança subjacentes.

Notas de segurança

A central de confiança torna explícitos os limites de segurança em vez de deixá-los implícitos. Dois limites transversais se aplicam a todas as páginas:

Os padrões falham de forma fechada (fail-closed), não são infalíveis. Todo objeto de política no mecanismo é fornecido na posição mais restritiva que a API pública permite. Flexibilizar essa posição exige adesão explícita por parte do chamador. Um padrão fail-closed reduz a chance de exposição acidental. Ele não elimina a responsabilidade de revisar a configuração que você escolher. Isso reflete o princípio de configuração de linha de base do National Institute of Standards and Technology (NIST) Special Publication (SP) 800-53 Rev. 5 CM-7 (nist_sp_800_53r5#x4.x182.p14): uma linha de base minimizada é um ponto de partida. Qualquer flexibilização é uma decisão explícita e registrada.
Requisitos documentados, não uma garantia generalizada. A central de confiança verifica o comportamento em relação a requisitos de segurança documentados, no espírito do Open Worldwide Application Security Project (OWASP) Application Security Verification Standard (ASVS) 5 (owasp_asvs_5#x165): um padrão de verificação mede a conformidade com requisitos enumerados. Ele não certifica que nada ficou de fora.

Conformidade

Não se aplica como perfil. Este índice não implementa um perfil de conformidade. Quando uma subpágina aborda um padrão (International Organization for Standardization (ISO) 32000-2 para criptografia e assinaturas, ISO/IEC 29147/30111 com a International Electrotechnical Commission (IEC) para divulgação, European Union (EU) General Data Protection Regulation (GDPR) / ISO/IEC 29100 para tratamento de dados), ela cita a cláusula específica e o reference_id em seu próprio front-matter. A própria subpágina exibe a tabela de afirmação → cláusula.