安全与合规
NextPDF 背后的公司 PATEON NETWORK TECHNOLOGY INCORPORATED 持有
ISO/IEC 27001:2022 证书 QCC/B86F/1224，认证对象为其信息安全管理体系。
NextPDF Licensing Distribution Platform——即许可云服务——已发布
CSA STAR Level 1 自我评估（CAIQ v4.1.0）。
PATEON NETWORK TECHNOLOGY INCORPORATED 持有 ISO/IEC 27001:2022 证书
QCC/B86F/1224，认证对象为公司信息安全管理体系。该证书的注册范围如下：
Specializing in information software services, data processing, third-party payment, software wholesale and retail, computer equipment installation and manufacturing, advertising services, management and leasing consulting, and other legally permitted activities as per the Statement of Applicability Version 1.1 dated 9th August 2024.
（参考译文：专营信息软件服务、数据处理、第三方支付、软件批发与零售、计算机设备安装与制造、广告服务、管理与租赁咨询，以及符合 2024 年 8 月 9 日《适用性声明》（Statement of Applicability）1.1 版的其他法律允许的经营活动。）
可在 IAF CertSearch 上核验该证书。
已发布的自我评估
标题为“已发布的自我评估”的章节CSA STAR Level 1 是云安全联盟（Cloud Security Alliance）的自我评估层级：供应商的控制项回答发布在公开的 STAR Registry 上供你查阅，并映射到云控制矩阵
（Cloud Controls Matrix）。NextPDF 在
CSA STAR Registry
上为 NextPDF Licensing Distribution Platform——即许可云服务——发布了
CAIQ v4.1.0 自我评估。
登记处证据
标题为“登记处证据”的章节| 声明 | 类型 | 证据 |
|---|---|---|
ISO/IEC 27001:2022 —— PATEON NETWORK TECHNOLOGY INCORPORATED 公司 ISMS，证书 QCC/B86F/1224 | 外部认证 | IAF CertSearch |
CSA STAR Level 1 自我评估（CAIQ v4.1.0）—— NextPDF Licensing Distribution Platform | NextPDF 撰写的自我评估 | CSA STAR Registry |
已部署的 CI 与工作流门禁
标题为“已部署的 CI 与工作流门禁”的章节| 门禁 | 配置 |
|---|---|
| 供应链 | 为构建生成 CycloneDX 1.7 SBOM，记录一份绑定构建输入的 in-toto 声明，并将 SHA-256 依赖指纹与固定基线做差异比对——在每个涉及依赖变更的拉取请求与每个版本标签上作为硬性门禁执行 |
| 静态分析 | 对 src/ 运行 PHPStan Level 10，在每次推送与每个拉取请求上均为构建阻断 |
| 覆盖率 | 对每个拉取请求所变更的代码行执行 90% 阈值，使用 PCOV 相对基准分支度量；低于阈值的拉取请求会导致构建失败 |
| 变异得分 | 对 raw_msi、effective_msi 与 covered_msi 设有单调不降的下限；任何会使任一指标跌破其下限的拉取请求都会被拒绝 |
| 输出验证 | 以 pdfua.strict 配置文件运行 veraPDF 1.30.1，在带标签输出语料库上作为构建阻断门禁执行 |