安全與合規
NextPDF 背後的公司 PATEON NETWORK TECHNOLOGY INCORPORATED，就其資訊安全管理系統持有
ISO/IEC 27001:2022 證書 QCC/B86F/1224。NextPDF Licensing Distribution
Platform——即授權雲端服務——已發布 CSA STAR Level 1 自我評估（CAIQ v4.1.0）。
PATEON NETWORK TECHNOLOGY INCORPORATED 就公司的資訊安全管理系統持有
ISO/IEC 27001:2022 證書 QCC/B86F/1224。證書的登錄範圍如下：
Specializing in information software services, data processing, third-party payment, software wholesale and retail, computer equipment installation and manufacturing, advertising services, management and leasing consulting, and other legally permitted activities as per the Statement of Applicability Version 1.1 dated 9th August 2024.
參考譯文：專營資訊軟體服務、資料處理、第三方支付、軟體批發與零售、電腦設備安裝與製造、 廣告服務、管理與租賃顧問，以及依 2024 年 8 月 9 日第 1.1 版適用性聲明（Statement of Applicability）所載其他法律允許之業務活動。
可於 IAF CertSearch 查證此證書。
已發布的自我評估
標題為「已發布的自我評估」的區段CSA STAR Level 1 是雲端安全聯盟（Cloud Security Alliance）的自我評估層級：供應商的控制措施回覆會對應至 Cloud Controls Matrix，並發布於公開的 STAR Registry 供你直接閱讀。
NextPDF 就 NextPDF Licensing Distribution Platform——即授權雲端服務——在
CSA STAR Registry
發布 CAIQ v4.1.0 自我評估。
登錄證據
標題為「登錄證據」的區段| 聲明 | 類型 | 證據 |
|---|---|---|
ISO/IEC 27001:2022 — PATEON NETWORK TECHNOLOGY INCORPORATED 公司 ISMS，證書 QCC/B86F/1224 | 外部認證 | IAF CertSearch |
CSA STAR Level 1 自我評估（CAIQ v4.1.0）— NextPDF Licensing Distribution Platform | NextPDF 自行撰寫的自我評估 | CSA STAR Registry |
已部署的 CI 與工作流程閘門
標題為「已部署的 CI 與工作流程閘門」的區段| 閘門 | 組態 |
|---|---|
| 供應鏈 | 產出建置的 CycloneDX 1.7 SBOM、記錄對建置輸入作出承諾的 in-toto 陳述，並將 SHA-256 相依性指紋與釘選基準做差異比對——對每一個變更相依性的 pull request 與每一個版本標籤均為硬性閘門 |
| 靜態分析 | 對 src/ 執行 PHPStan Level 10，在每次 push 與 pull request 阻擋建置 |
| 覆蓋率 | 對每個 pull request 所變更的程式行套用 90% 門檻，以 PCOV 對照基底分支量測；低於門檻的 pull request 會使建置失敗 |
| 變異分數 | 對 raw_msi、effective_msi 與 covered_msi 設有單調不下降的下限；任何會使任一指標跌破其下限的 pull request 都會被拒絕 |
| 輸出驗證 | 以 veraPDF 1.30.1 搭配 pdfua.strict 設定檔，對標籤化輸出測試集阻擋建置 |