Gizlilik

Bir bakışta

NextPDF Enterprise Privacy, yapılandırılmış PII desenleriyle eşleşen metni algılar ve onu ya maskeler, ya onu içeren satırları gizler ya da şifreli bir bekleyen-veri eşlemesiyle desteklenen geri döndürülebilir belirlenimci takma adlarla değiştirir. Yapılandırılmış kurallarla eşleşen içeriği test edildiği biçimde kaldırır. Eksiksiz PII kaldırmayı garanti etmez ve bir düzenleyici uyumluluk beyanı değildir.

Kullanılabilirlik ve lisanslama

Bu yetenek NextPDF Enterprise (nextpdf/enterprise) ile birlikte gelir ve bir Enterprise katmanı lisans zarfıyla etkinleşir. Bu hakka sahip olmayan bir dağıtım, yeteneğin sınıflarını yüklemez. Sürümleri karşılaştırın ve bir lisans alın.

Kurulum

composer require nextpdf/enterprise:^3

Kavramsal genel bakış

Algılama desen tabanlıdır. Bir algılayıcı, metni bir düzenli-ifade deseni kayıt defterine karşı tarar ve e-posta adresleri, telefon numaraları, Amerika Birleşik Devletleri Sosyal Güvenlik numaraları, kredi kartı numaraları ve Tayvan ulusal kimlik numaraları için yerleşik desenler sunar. Bir dağıtım, ek desenler kaydedebilir. Algılama yalnızca yapılandırılmış türleri bulur; hiçbir desenin eşleşmediği bir değer algılanmaz ve metin katmanı olmayan taranmış bir sayfa hiçbir eşleşme vermez.

Bir maskeleme politikası davranışı denetler. Yalnızca-algılama kipinde motor, içeriği değiştirmeden bulguları döndürür. Maskeleme kipinde, eşleşen her aralığı bir kara kutu, beyaz kutu veya metin değiştirmeyle değiştirir. Kimliksizleştirici, tek tek aralıkları maskelemek yerine bir eşleşme içeren tüm satırları kaldıran bir gizleme stratejisi ekler. Her çalıştırma; özgün metnin SHA-256’sını, değiştirilmiş içeriği, ayrıntılı bir raporu ve bir değiştirildi bayrağını döndürür.

Takma adlandırma tasarım gereği geri döndürülebilirdir. Motor, algılanan varlıkları, özgün değer üzerinde bir HMAC’ten ve oturum başına bir tohumdan türetilen belirlenimci, biçim duyarlı takma adlarla değiştirir; böylece aynı değer bir oturum içinde tutarlı biçimde eşlenirken, farklı oturumlar arasında ise belirteçler belirlenimci eşitlikle ilişkilenmez. Özgün-değerden-takma-ada eşlemesi serileştirilir ve AES-256-GCM ve sürümlenmiş bir anahtarla bekleyen veride şifrelenir; bu da anahtar rotasyonunu destekler. Yeniden sulandırma özgün değerleri geri yükler, ancak yalnızca doğru anahtar ve eşleşen şifreli eşlemeyle; bunlar olmadan özgün değerler yalnızca takma adlandırılmış metinden kurtarılamaz.

Bu işlemler, veri ile kişi arasındaki ilişkiyi kaldıran kimliksizleştirmeyi uygular — ISO/IEC 29100:2024 §2. Takma adlandırma, bir tanımlayıcıyı bir takma adla değiştirir ve tanım gereği, ayrı tutulan eşlemeyle geri döndürülebilirdir — ISO/IEC 29100:2024 §2. Anonimleştirme, tanımlanmayı geri döndürülemez biçimde önlemeyi amaçlar — ISO/IEC 29100:2024 §2; bu Enterprise yüzeyi anonimleştirme değil, desen kapsamlı maskeleme, gizleme ve geri döndürülebilir takma adlandırma gerçekleştirir. Artık yeniden tanımlama riski, kimliksizleştirmeden sonra kalan özniteliklere bağlıdır — ISO/IEC 29100:2024 §2 ve kimliksizleştirme bu riski azaltır ama ortadan kaldırmaz — ISO/IEC 29151:2017. Çıktıyı, eksiksiz PII kaldırma, geri döndürülemezlik veya düzenleyici uyumluluk garantisi olarak değil, yapılandırılmış kurallarla eşleşen içeriğin test edildiği biçimde kaldırılması veya değiştirilmesi olarak ele alın.

Neden bu şekilde çalışır

Geri döndürülebilirlik, yük taşıyan seçimdir. Takma adlar, özgün değer ve oturum başına bir tohum üzerindeki HMAC-SHA256 çıktılarıdır; böylece aynı değer bir oturum boyunca aynı belirtece eşlenir ve belgenin dahilî ilişkileri korunur. Oturum başına yeni bir rastgele tohum, aynı değerin oturumlar arasında aynı belirtece eşlenmediği anlamına gelir; böylece takma adlar oturumlar arasında belirlenimci belirteç eşitliğiyle ilişkilenmez ve bu, merkezî bir arama olmadan belirlenimci ilişkilenebilirliği azaltır. Eşleme kasıtlı olarak tutulur — AES-256-GCM ile bekleyen veride şifrelenmiş — böylece yetkili yeniden sulandırma özgünleri geri yükleyebilir; bu geri döndürülebilirlik, bunu ISO/IEC 29100:2024 §2 kapsamında anonimleştirme değil takma adlandırma yapan şeydir. Ödünleşim kabul edilir: hassas yapıt, takma adlandırılmış metin değil şifreli eşleme olur; böylece gizlilik anahtar muhafazasına indirgenir. Biçim duyarlı belirteçler her varlığın biçimini korur; böylece aşağı akış çözümleyicileri çalışmaya devam eder, ancak sağlama toplamı doğrulayıcılarının biçimlendirilmiş-ama-sentetik bir değeri reddedebilmesi pahasına.

Tasarım arka planı: Maskeleme bir kara dikdörtgen değildir.

API yüzeyi

Tür	Çeşit	Rol	Kararlılık	Beri
PiiDetector	class	Desen tabanlı PII algılama; özel desen kaydını destekler	stable	2.2.0
RedactionEngine	class	Politikaya göre yalnızca-algılama veya yıkıcı metin maskeleme	stable	2.2.0
DeIdentifier	class	Maskeleme veya satır-gizleme strateji sevki	stable	2.2.0
RedactionPolicy	class	Hedef varlık türleri, maskeleme anahtarı, değiştirme biçemi	stable	2.2.0
PseudonymizationEngine	class	Belirlenimci, biçim duyarlı takma ad değiştirme	stable	2.2.0
PrivacyGateway	class	Denetimli, belge kapsamlı takma adlandırma/yeniden sulandırma	stable	2.2.0
RehydrationService	class	Şifreli bir eşlemeden özgünleri geri yükler	stable	2.2.0
EncryptedMapSerializer	class	Anahtar sürümlemeli AES-256-GCM bekleyen-veri eşleme serileştirmesi	stable	2.2.0
PrivacyAuditTrail	class	Takma adlandırma/yeniden sulandırma işlemlerinin yalnızca-ekle günlüğü	stable	2.2.0
EntityType / RedactionStyle / DeIdentificationStrategy	enums	Varlık, biçem ve strateji sözcük dağarcığı	stable	2.2.0

Denetim izi sözleşme gereği yalnızca-ekledir: bir oturum kimliği, işlem, varlık sayısı, bir politika karması, bir zaman damgası ve bir kiracı kimliği günlüğe kaydeder. Algılanan değerleri kaydetmez.

Kod örneği — hızlı başlangıç

Detect and redact configured PII

<?php

declare(strict_types=1);

require_once __DIR__ . '/vendor/autoload.php';

use NextPDF\Enterprise\Privacy\PiiDetector;
use NextPDF\Enterprise\Privacy\RedactionEngine;
use NextPDF\Enterprise\Privacy\RedactionPolicy;

/**
 * Redact every configured entity type from text content.
 *
 * @param string $content The text to process.
 *
 * @return string The redacted text.
 */
function redactAll(string $content): string
{
    $engine = new RedactionEngine(new PiiDetector());

    return $engine->redact($content, RedactionPolicy::allEntities())
        ->redactedContent;
}

RedactionPolicy::allEntities(), yerleşik türleri hedefler. Hiçbir yapılandırılmış desenin eşleşmediği bir değer maskelenmez.

Kod örneği — üretim

Reversible pseudonymization with audit and safe logging

<?php

declare(strict_types=1);

require_once __DIR__ . '/vendor/autoload.php';

use NextPDF\Enterprise\Privacy\PrivacyGateway;
use NextPDF\Enterprise\Privacy\PrivacyPolicy;
use NextPDF\Enterprise\Privacy\EntityType;
use Psr\Log\LoggerInterface;

final readonly class DocumentDeidentifier
{
    public function __construct(
        private PrivacyGateway $gateway,
        private LoggerInterface $logger,
    ) {}

    /**
     * Pseudonymize a document and return the encrypted reversal map.
     *
     * @param non-empty-string                                      $text     Document text.
     * @param list<array{text: non-empty-string, type: EntityType}> $entities Detected entities.
     *
     * @return array{text: string, encrypted_map: non-empty-string}
     */
    public function process(string $text, array $entities): array
    {
        $policy = PrivacyPolicy::piiOnly('session-' . bin2hex(random_bytes(6)));
        $result = $this->gateway->pseudonymize($text, $entities, $policy);

        $this->logger->info('Pseudonymization complete', [
            'entityCount' => $result['entity_count'],
        ]);

        return ['text' => $result['text'], 'encrypted_map' => $result['encrypted_map']];
    }
}

Günlük kaydı yalnızca bir sayı taşır. Belge metnini, algılanan değerleri veya şifreli eşlemeyi taşımaz.

Uç durumlar ve tuzaklar

• Algılama desen kapsamlıdır. Hiçbir desenin eşleşmediği bir değer algılanmaz. Motor, tüm kişisel verinin bulunduğunu ileri sürmez ve sonuç, eksiksiz-PII-kaldırma garantisi değildir.
• Taranmış sayfaların metin katmanı yoktur. Metin-deseni algılama hiçbir eşleşme vermez; önce metin gerekiyorsa Intelligence aranabilir-kaplama yüzeyiyle birleştirin.
• Takma adlandırma tanım gereği geri döndürülebilirdir. Doğru anahtara ve eşleşen şifreli eşlemeye sahip herkes özgünleri geri yükleyebilir. Bu anonimleştirme değildir; takma adlandırılmış çıktıyı geri döndürülemez olarak sunmayın.
• Biçim duyarlı takma adlar bir biçim korur (örneğin, kimlik benzeri veya e-posta benzeri bir belirteç). Sağlama toplamlarını doğrulayan bir aşağı akış sistemi bir takma adı reddedebilir; bu beklenir.
• Şifreli eşleme, hassas yapıttır. Onu kaybetmek yeniden sulandırmayı olanaksız kılar; anahtarıyla birlikte sızdırmak takma adlandırmayı üçüncü bir tarafça geri döndürülebilir kılar. Anahtar muhafazasını ve eşleme depolamayı bir dağıtım sorumluluğu olarak ele alın.
• Maskeleme, kendisine geçirilen metin içeriği üzerinde işlem yapar. Tek başına bir görüntüyü düzleştirmez, bir küçük resmi kaldırmaz veya belge meta verisini sıyırmaz; işlem hattını buna göre kapsamlayın.

Performans

Algılama maliyeti, desen sayısı ve metin uzunluğuyla ölçeklenir. Takma adlandırma, benzersiz varlık başına bir HMAC ve eşlemenin bir AES-256-GCM mührü ekler. 1500 ms duvar bütçesi tipik bir iş belgesini kapsar. Yeniden üretilebilirlik profili structural’dır: takma adlar, sabit bir tohum için belirlenimcidir, ancak denetim zaman damgası ve rastgele oturum tohumu çalıştırmalar arasında değişir; böylece iki çalıştırma bu alanlarda farklılaşır.

Güvenlik notları

Bekleyen-veri eşlemesi kimliği doğrulanmış şifreleme kullanır. Eşleme, AES-256-GCM ve sürümlenmiş bir anahtarla mühürlenir; yeniden sulandırma, doğru anahtar sürümü olmadan olanaksızdır. Anahtar üretimi, muhafazası ve rotasyonu dağıtımın sorumluluğundadır; kütüphane bir anahtarı tüketir, bir anahtar deposunu yönetmez. Denetim izi yalnızca-ekledir ve meta veriyi kaydeder, asla algılanan değerleri kaydetmez. Her normatif kaynak başka sözcüklerle ifade edilmiştir ve hiçbiri yeniden üretilmez.

Veri yerleşimi ve PII azaltmaları

Algılama, maskeleme ve takma adlandırma, ana makine üzerinde süreç içinde çalışır. Bu işlemlerin hiçbiri için hiçbir belge içeriği ana makineden ayrılmaz. Şifreli eşleme ve herhangi bir yeniden sulandırılmış çıktı kişisel veridir; bunların nerede saklandığı ve hangi yargı bölgesinin işlediği, kütüphanenin sınırının dışındaki bir dağıtım sorumluluğudur. Kütüphane, desen kapsamlı kimliksizleştirmeyi test edildiği biçimde gerçekleştirir; GDPR, HIPAA veya başka herhangi bir düzenleyici uyumluluğu sertifikalandırmaz ve anonimleştirme yapmaz. Artık yeniden tanımlama riski, kalan özniteliklere bağlıdır — ISO/IEC 29151:2017.

Güvenli telemetri ve günlük temizleme

Kütüphane, yapısal mesajlarla türlenmiş istisnalar yükseltir ve algılanan değerleri, belge baytlarını veya şifreli eşlemeyi asla istisna metnine yerleştirmez. Bu yüzeyin çevresinde günlük tutan bir dağıtım, üretim örneğinde gösterildiği gibi sayıları ve politika karmasını günlüğe kaydetmeli ve ham PDF yükünü, algılanan varlık metnini veya takma ad eşlemesini günlüklere ya da bir APM arka ucuna kaydetmemelidir. Yalnızca-ekle denetim izi, saklanacak güvenli kayıttır.

FIPS modu davranışı

Bekleyen-veri eşlemesi, platform kripto sağlayıcısı üzerinden AES-256-GCM kullanır. Ana makine FIPS-doğrulamalı bir sağlayıcı çalıştırdığında, bu işlem doğrulanmış sınır içinde çalışır. NextPDF Enterprise yapısal montajı gerçekleştirir ve kendisi FIPS-doğrulamalı bir kriptografik modül değildir ve hiçbir FIPS sertifikasyon iddiasında bulunmaz.

Uygunluk

İddia	Standart	Madde
Kimliksizleştirme, veri ile kişi arasındaki ilişkiyi kaldırır.	ISO/IEC 29100:2024	§2
Takma adlandırma, bir tanımlayıcıyı bir takma adla değiştirir ve ayrı eşlemeyle geri döndürülebilirdir.	ISO/IEC 29100:2024	§2
Anonimleştirme, tanımlanmayı geri döndürülemez biçimde önlemeyi amaçlar (bu yüzey anonimleştirmez).	ISO/IEC 29100:2024	§2
Artık yeniden tanımlama riski, kalan özniteliklere bağlıdır.	ISO/IEC 29100:2024	§2
Gizlilik denetimleri PII’ye uygulanır.	ISO/IEC 29100:2024	§6.5
Kimliksizleştirme artık riski azaltır ama ortadan kaldırmaz.	ISO/IEC 29151:2017	de-identification controls
Kimliksizleştirilmiş verinin ilişkilenebilirliğini en aza indirin.	ISO/IEC 29151:2017	PII minimization
PII’yi korumak için denetimler uygulanır.	ISO/IEC 29151:2017	controls

Tüm maddeler başka sözcüklerle ifade edilmiştir. NextPDF normatif metni yeniden üretmez. Yetkili ifade için yayımlanmış standartlara başvurun. NextPDF hiçbir gizlilik-düzenlemesi uyumluluk iddiasında bulunmaz; bu sayfa, sertifikalı bir uyumluluk durumunu değil, test edilen kimliksizleştirme davranışını ve sınırlarını belirtir.

Davranış sözleşmesi

• Algılama desen kapsamlıdır: yalnızca yapılandırılmış türleri bulur; hiçbir desenin eşleşmediği bir değer algılanmaz ve metin katmanı olmayan bir sayfa hiçbir eşleşme vermez.
• Bir maskeleme politikası yalnızca-algılama, aralık değiştirme (kara kutu / beyaz kutu / metin) veya tüm-satır gizlemeyi seçer; her çalıştırma özgün-metnin SHA-256’sını, değiştirilmiş içeriği, ayrıntılı bir raporu ve bir değiştirildi bayrağını döndürür.
• Takma adlandırma tasarım gereği geri döndürülebilirdir: belirlenimci, HMAC-türevli takma adlar bir oturum içinde tutarlıdır ve yeniden sulandırma, doğru anahtar sürümünü ve eşleşen AES-256-GCM bekleyen-veri eşlemesini gerektirir.
• Yalnızca-ekle denetim izi; oturum kimliği, işlem, varlık sayısı, politika karması, zaman damgası ve kiracı kimliğini kaydeder — asla algılanan değerleri değil.
• Çıktı, eksiksiz PII kaldırma, geri döndürülemezlik veya düzenleyici uyumluluk garantisi değil, yapılandırılmış kurallarla eşleşen içeriğin test edildiği biçimde kaldırılması veya değiştirilmesidir.

Yayın sınırı

Bu sayfa yalnızca dışarıdan gözlemlenebilir davranışı ve desteklenen herkese açık API yüzeyini belgeler. Dahilî ad alanı yolları, yardımcı sınıflar, mekanizma tabloları, runbook dosya adları ve bilet önekleri kapsam dışıdır.

Core yedeği

NextPDF Core (Apache-2.0), hiçbir PII algılama, maskeleme veya takma adlandırma yüzeyine sahip değildir — hiçbiri; bu yeteneğin Core katmanında bir karşılığı yoktur.

Pro yedeği

NextPDF Pro, bir metin-katmanı PII algılama yüzeyi ve oluşturma anında maskeleme sunar; geri döndürülebilir takma adlandırma, şifreli bekleyen-veri eşlemesi, satır gizleme veya yalnızca-ekle denetim izi sağlamaz. Bunlar yalnızca nextpdf/enterprise paketinde sunulur.

Enterprise sınır notu

Algılama, maskeleme, gizleme ve takma adlandırma davranış düzeyinde açıklanmıştır. Kütüphane bir şifreleme anahtarını tüketir; bir anahtar deposunu yönetmez ve anahtar üretimi, muhafazası ve rotasyon dahilîleri, herkese açık yüzeyin kapsamı dışındadır.

Dağıtım sınırı

Şifreli eşleme ve herhangi bir yeniden sulandırılmış çıktı kişisel veridir; bunların nerede saklandığı ve hangi yargı bölgesinin işlediği, kütüphanenin sınırının dışındaki bir dağıtım sorumluluğudur. Anahtar üretimi, muhafazası ve rotasyonu dağıtımın sorumluluğundadır — kütüphane bir anahtar sürümünü tüketir, bir anahtar deposunu yönetmez. Eşlemeyi kaybetmek yeniden sulandırmayı olanaksız kılar; anahtarıyla birlikte sızdırmak takma adlandırmayı üçüncü bir tarafça geri döndürülebilir kılar.

Hukuki uygunluk sınırı

Bekleyen-veri eşlemesi kimliği doğrulanmış şifreleme kullanır. Kütüphane, desen kapsamlı kimliksizleştirmeyi test edildiği biçimde gerçekleştirir ve GDPR, HIPAA veya başka herhangi bir düzenleyici uyumluluğu sertifikalandırmaz ve anonimleştirme yapmaz. Bu belge bir hukuki görüş değildir; kendi uygunluk ve hukuk danışmanlarınıza başvurun.

Ayrıca bakınız

• Gizlilik referansı — Privacy modülünün tam herkese açık API yüzeyi.
• Pro güvenliği — Pro maskeleme ve metin-katmanı PII algılama.
• Forensics — salt okunur revizyon-geçmişi çözümlemesi.
• NextPDF Enterprise — tam Enterprise özellik yüzeyi.
• Gizlilik politikası — belgeleme programının kendi veri işlemesi.
• PII · Pseudonymization · De-identification · AES-GCM — sözlük terimleri.