Vissa gratis PDF-verktyg online är säkra för känsliga filer och vissa är det inte, och utifrån ser de nästan likadana ut. De säkra behandlar din fil i webbläsaren och laddar aldrig upp den. De riskabla laddar upp den, sparar den under en tid du inte kan styra och finansieras på sätt som de inte förklarar.

Du kan skilja dem åt med några kontroller som tar fem minuter första gången och sekunder efter det. Här är checklistan, grupperad efter vad varje kontroll säger dig, följd av hur du väger svaren för olika slags dokument.

Kontroll 1 till 4: var behandlas din fil?

Det här spelar störst roll, eftersom en fil som aldrig lämnar din enhet inte kan läcka, sparas eller skickas vidare av sajten.

  • Kontroll 1, påståendet på verktygssidan. ”Körs i webbläsaren” eller ”din fil lämnar aldrig din enhet” är ett konkret påstående som går att testa. ”Säkert”, ”krypterat” eller ”vi respekterar din integritet” säger ingenting om var arbetet sker.
  • Kontroll 2, ett uppladdningssteg. En förloppsindikator som klättrar innan något annat händer, även för en fil på en sida, är oftast filen som färdas till en server.
  • Kontroll 3, offlinetestet. Ladda verktygssidan, stäng av wifi och kör sedan en ofarlig test-PDF genom verktyget. Om det fortfarande fungerar sker behandlingen lokalt.
  • Kontroll 4, nätverksfliken, om du känner dig bekväm med den. Nästa avsnitt visar hur.

Så läser du nätverksfliken utan att vara utvecklare

Alla webbläsare på datorn kan visa vad en sida skickar. I Chrome, Edge eller Firefox trycker du på F12 (eller högerklickar på sidan och väljer Inspektera) och öppnar sedan fliken Nätverk. Ha den öppen medan du släpper in en testfil och kör verktyget.

  • Strunta i småsakerna. Annonser, analys, typsnitt och bilder gör alla förfrågningar på några kilobyte. Nästan alla webbplatser har dem.
  • Titta på storlekskolumnen. Om din test-PDF är 2 MB och en förfrågan på ungefär 2 MB går ut när du släpper in den, är det din fil som laddas upp.
  • Titta på metoden. En uppladdning är normalt en POST- eller PUT-förfrågan, ofta till en adress med ord som upload, task eller process i.
  • Upprepa med nedladdningen. Vissa sajter behandlar lokalt men skickar tillbaka resultatet till en server för att ”lagra” det. Nedladdningen ska skapa en fil utan att någon stor förfrågan går ut.

På en mobil finns ingen enkel nätverksflik, så använd offlinetestet i stället. Ladda verktyget, slå på flygplansläge och prova sedan en testfil. Kom ihåg att slå av det igen efteråt.

Kontroll 5 till 8: vad säger integritetspolicyn?

Om ett verktyg faktiskt laddar upp talar integritetspolicyn om hur mycket det spelar roll. Sök på sidan efter ”filer”, ”dokument”, ”radera” och ”spara”.

  • Kontroll 5, lagringstid. ”Filer raderas efter en timme” betyder att de hade din fil i en timme. Notera om det gäller gratisanvändare också, och säkerhetskopior.
  • Kontroll 6, hur ditt innehåll används. Se om dokument kan användas för att förbättra tjänster eller träna system. Om det är vagt, utgå från att svaret är ja.
  • Kontroll 7, vilka andra som hanterar den. Leta efter listan över personuppgiftsbiträden och hostingleverantörer, och i vilket land servrarna finns.
  • Kontroll 8, en riktig kontakt. Ett namngivet företag, en adress och ett sätt att begära radering är ett minimum. Ingen policy alls är också ett svar.

Kontroll 9 till 12: hur finansieras det, och vad begär det av dig?

  • Kontroll 9, finansiering du kan se. Annonser eller en betald plan är normala sätt att betala för ett gratisverktyg. När du inte alls kan se hur en sajt tjänar pengar, var mer försiktig med vad du ger den.
  • Kontroll 10, en kontovägg. Att bli ombedd att logga in när du redan har gjort jobbet, bara för att ladda ner, är ett tecken på att sajten vill ha din e-postadress mer än dig som kund.
  • Kontroll 11, installationsprogram och tillägg. En PDF-sajt som trycker på en nedladdning, ett webbläsartillägg eller tillstånd för aviseringar för att slutföra ett enkelt jobb begär mycket mer åtkomst än jobbet kräver.
  • Kontroll 12, själva nedladdningen. Resultatet ska vara en PDF. En fil som slutar på .exe, en oväntad .zip eller en kedja av omdirigeringar innan filen är ett skäl att sluta.
Det vanligaste misstaget är att lita på ordet ”säker”. Ett hänglås och HTTPS betyder att filen är krypterad på vägen till servern. De säger ingenting om vad som händer med den när den har kommit fram.

Hur mycket varje kontroll spelar roll beror på dokumentet

Du behöver inte vara lika noga med varje fil. En ungefärlig guide:

  • Lite på spel, till exempel en kafémeny, en offentlig broschyr eller ett flygblad för ett skolevenemang. Alla välrenommerade verktyg duger. Kontroll 11 och 12 gäller fortfarande.
  • Personligt, till exempel ett lönebesked, ett kontoutdrag eller ett hyresavtal. Välj helst ett verktyg som klarar kontroll 1 till 4. Om det laddar upp ska det tydligt klara 5 till 8.
  • ID-handlingar, till exempel en skanning av pass, IC eller körkort. Använd ett verktyg som behandlar filen i webbläsaren och inget annat. En läckt ID-skanning är svår att göra ogjord.
  • Andras uppgifter, till exempel kundregister, patientjournaler eller HR-dokument. Din organisations regler går först. Dataskyddslagar som Malaysias PDPA och EU:s GDPR ålägger organisationer att hålla personuppgifter säkra.

När ett verktyg inte klarar en kontroll

Att inte klara kontroll 3 gör inte ett verktyg oärligt. Vissa jobb, som textigenkänning i stor skala på skanningar, görs ofta på servrar, och en tydlig policy kan göra det acceptabelt för vanliga filer. Att inte klara den och samtidigt påstå att verktyget körs i webbläsaren är en annan sak: det påståendet är inte sant, så lita inte på resten.

Om du redan har laddat upp något känsligt till en sajt du nu tvivlar på, leta reda på hur man begär radering och använd det. Om det var en ID-handling eller bankuppgifter, håll utkik efter nätfiske som citerar de uppgifterna tillbaka till dig.

Gör kontrollerna igen då och då för de verktyg du använder ofta. Sajter säljs, ändrar hur de finansieras eller flyttar en funktion till en server, och verktyget du kontrollerade förra året kan fungera annorlunda i dag. Ett bokmärkt verktyg som plötsligt visar en uppladdningsindikator är värt en extra titt.

Hur Kopitiam klarar samma checklista

Det är bara rättvist att köra vårt eget verktyg genom den. Kopitiams PDF-verktyg behandlar din fil i webbläsaren och laddar aldrig upp den, och de fortsätter att fungera om anslutningen bryts efter att sidan har laddats. Det finns inget konto, ingen nedladdningsvägg och inget installationsprogram.

Det här skickar sajten faktiskt: Kopitiam finansieras med annonser, så din webbläsare ber vår annonspartner om en annons att visa. Om du godkänner analys i cookiebannern registrerar anonyma händelser saker som vilket verktyg som öppnades, aldrig filen eller dess namn. Om du väljer Bara nödvändiga laddas analysen inte. Typsnitten kommer från Google Fonts. Integritetssidan listar allt detta, och du kan själv bekräfta det i nätverksfliken.