Sommige gratis online PDF-tools zijn veilig voor gevoelige bestanden en andere niet, en van buiten zien ze er bijna hetzelfde uit. De veilige verwerken je bestand in je browser en uploaden het nooit. De riskante uploaden het, bewaren het een tijd waar jij geen invloed op hebt en worden betaald op manieren die ze niet uitleggen.

Je kunt ze uit elkaar houden met een paar checks die de eerste keer vijf minuten kosten en daarna een paar seconden. Hier is de checklist, gegroepeerd naar wat elke check je vertelt, gevolgd door hoe je de antwoorden weegt voor verschillende soorten documenten.

Check 1 tot 4: waar wordt je bestand verwerkt?

Dit is het belangrijkst, want een bestand dat je apparaat nooit verlaat, kan door de site niet gelekt, bewaard of doorgegeven worden.

  • Check 1, de belofte op de toolpagina. ‘Werkt in je browser’ of ‘je bestand verlaat je apparaat nooit’ is een concrete belofte die je kunt testen. ‘Veilig’, ‘versleuteld’ of ‘we respecteren je privacy’ zegt niets over waar het werk gebeurt.
  • Check 2, een uploadstap. Een voortgangsbalk die oploopt voordat er iets anders gebeurt, zelfs bij een bestand van één pagina, is meestal je bestand dat naar een server reist.
  • Check 3, de offlinetest. Laad de toolpagina, zet wifi uit en haal dan een onschuldige test-PDF door de tool. Werkt het nog, dan gebeurt de verwerking lokaal.
  • Check 4, het netwerktabblad, als je daar vertrouwd mee bent. Het volgende deel laat zien hoe.

Zo lees je het netwerktabblad zonder ontwikkelaar te zijn

Elke desktopbrowser kan laten zien wat een pagina verstuurt. Druk in Chrome, Edge of Firefox op F12 (of klik met de rechtermuisknop op de pagina en kies Inspecteren) en open dan het tabblad Netwerk. Laat het openstaan terwijl je een testbestand erin sleept en de tool laat werken.

  • Negeer de kleine dingen. Advertenties, analytics, lettertypen en afbeeldingen doen allemaal verzoeken van een paar kilobyte. Bijna elke website heeft die.
  • Kijk naar de kolom met de grootte. Is je test-PDF 2 MB en gaat er een verzoek van ongeveer 2 MB uit zodra je hem erin sleept, dan is dat je bestand dat wordt geüpload.
  • Kijk naar de methode. Een upload is normaal een POST- of PUT-verzoek, vaak naar een adres met woorden als upload, task of process erin.
  • Herhaal het bij de download. Sommige sites verwerken lokaal, maar sturen het resultaat terug naar een server om het te ‘bewaren’. De download hoort een bestand te maken zonder dat er een groot verzoek uitgaat.

Op een telefoon is er geen eenvoudig netwerktabblad, dus gebruik dan de offlinetest. Laad de tool, zet de vliegtuigmodus aan en probeer dan een testbestand. Vergeet niet hem daarna weer uit te zetten.

Check 5 tot 8: wat staat er in het privacybeleid?

Uploadt een tool wel, dan vertelt het privacybeleid je hoeveel dat uitmaakt. Zoek op de pagina naar ‘bestanden’, ‘documenten’, ‘verwijderen’ en ‘bewaren’.

  • Check 5, bewaartermijn. ‘Bestanden worden na een uur verwijderd’ betekent dat ze je bestand een uur hadden. Let erop of dat ook geldt voor gratis gebruikers, en voor back-ups.
  • Check 6, gebruik van je inhoud. Kijk of documenten gebruikt mogen worden om diensten te verbeteren of systemen te trainen. Is het vaag, ga er dan van uit dat het antwoord ja is.
  • Check 7, wie er nog meer aan zit. Zoek de lijst met verwerkers en hostingproviders, en in welk land de servers staan.
  • Check 8, een echt contact. Een bedrijf met een naam, een adres en een manier om om verwijdering te vragen zijn het minimum. Helemaal geen beleid is ook een antwoord.

Check 9 tot 12: hoe wordt het betaald, en wat vraagt het van je?

  • Check 9, financiering die je kunt zien. Advertenties of een betaald abonnement zijn normale manieren om een gratis tool te betalen. Kun je helemaal niet zien hoe een site geld verdient, wees dan voorzichtiger met wat je eraan geeft.
  • Check 10, een accountmuur. Moet je inloggen nadat je het werk hebt gedaan, alleen om te downloaden, dan is dat een teken dat de site meer uit is op je e-mailadres dan op jou als klant.
  • Check 11, installatieprogramma’s en extensies. Een PDF-site die je een download, een browserextensie of toestemming voor meldingen opdringt om een eenvoudige klus af te maken, vraagt veel meer toegang dan de klus nodig heeft.
  • Check 12, de download zelf. Het resultaat hoort een PDF te zijn. Een bestand dat eindigt op .exe, een onverwachte .zip of een reeks doorverwijzingen voor het bestand is een reden om te stoppen.
De meest gemaakte fout is vertrouwen op het woord ‘veilig’. Een hangslotje en HTTPS betekenen dat het bestand versleuteld is op weg naar de server. Ze zeggen niets over wat ermee gebeurt zodra het daar aankomt.

Hoe zwaar elke check weegt, hangt af van het document

Niet elk bestand vraagt om dezelfde zorg. Een ruwe richtlijn:

  • Weinig op het spel, zoals een menukaart van een café, een openbare brochure of een flyer voor een schoolevenement. Elke betrouwbare tool is prima. Check 11 en 12 gelden nog steeds.
  • Persoonlijk, zoals een loonstrook, een bankafschrift of een huurcontract. Kies liever een tool die slaagt voor check 1 tot 4. Uploadt hij, dan moet hij duidelijk slagen voor 5 tot 8.
  • Identiteitsbewijzen, zoals een scan van je paspoort, IC of rijbewijs. Gebruik alleen een tool die in je browser verwerkt. Een gelekte ID-scan is moeilijk terug te draaien.
  • Gegevens van anderen, zoals klantgegevens, patiëntdossiers of HR-documenten. De regels van je organisatie gaan voor. Wetten voor gegevensbescherming zoals de Maleisische PDPA en de Europese AVG (GDPR) verplichten organisaties om persoonsgegevens veilig te houden.

Als een tool zakt voor een check

Zakken voor check 3 maakt een tool niet oneerlijk. Sommige klussen, zoals grootschalige tekstherkenning op scans, gebeuren vaak op servers, en een duidelijk beleid kan dat aanvaardbaar maken voor gewone bestanden. Ervoor zakken terwijl de tool beweert in je browser te werken, is iets anders: die bewering klopt niet, dus vertrouw de rest ook niet.

Heb je al iets gevoeligs geüpload naar een site waar je nu aan twijfelt, zoek dan hun procedure om verwijdering aan te vragen en gebruik die. Ging het om een identiteitsbewijs of bankgegevens, let dan op phishing waarin die gegevens aan je worden voorgehouden.

Doe de checks af en toe opnieuw voor de tools die je vaak gebruikt. Sites worden verkocht, veranderen hoe ze gefinancierd worden of verhuizen een functie naar een server, en de tool die je vorig jaar controleerde, werkt vandaag misschien anders. Een tool in je bladwijzers die ineens een uploadbalk toont, verdient een tweede blik.

Hoe Kopitiam het doet op dezelfde checklist

Het is niet meer dan eerlijk om onze eigen tool erdoor te halen. De PDF-tools van Kopitiam verwerken je bestand in de browser en uploaden het nooit, en ze blijven werken als de verbinding wegvalt nadat de pagina geladen is. Er is geen account, geen downloadmuur en geen installatieprogramma.

Wat de site wel verstuurt: Kopitiam wordt betaald met advertenties, dus je browser vraagt onze advertentiepartner om een advertentie om te tonen. Accepteer je analytics in de cookiebanner, dan leggen anonieme gebeurtenissen dingen vast zoals welke tool werd geopend, nooit het bestand of de naam ervan. Kies je Alleen noodzakelijk, dan laadt analytics niet. Lettertypen komen van Google Fonts. De privacypagina noemt het allemaal, en je kunt het zelf controleren in het netwerktabblad.