Segurança

Atualizado em 25 de outubro de 2026

Como as ferramentas funcionam

Quando você abre uma ferramenta, seu navegador baixa o programa da ferramenta de pdfandphoto.com, do mesmo jeito que baixa qualquer página da web. Depois disso, tudo acontece no seu celular ou computador. Seus PDFs e fotos são lidos, alterados e salvos pelo seu navegador, no seu dispositivo. Eles não são enviados para nós nem para ninguém.

Quem faz a regra ser cumprida é o seu navegador

Toda página que enviamos traz uma regra de segurança, chamada Content Security Policy, que instrui o seu navegador a:

• executar código de programa só de pdfandphoto.com, nunca de nenhum outro lugar;
• deixar a página se conectar só ao pdfandphoto.com, para que ela não possa enviar às escondidas um arquivo ou texto para outro site em segundo plano (connect-src 'self');
• nunca mostrar nossas páginas dentro de outro site, um truque usado por sites falsos que tentam fazer as pessoas digitarem senhas (frame-ancestors 'none').

Essas regras são aplicadas pelo seu navegador, não por nós, e a própria página não consegue desativá-las.

Uma página que não tem ferramentas funciona de um jeito um pouco diferente, porque é onde um plano pago seria comprado: sua conta. A regra dela também permite carregar a janela de pagamento da Paddle, a empresa que venderia nossos planos (código de programa de cdn.paddle.com e um quadro de pagamento de buy.paddle.com, ou as versões de teste da Paddle desses endereços), e mostrar o botão “Fazer login com o Google” (de accounts.google.com/gsi/). As janelas da Paddle e do Google são operadas por essas empresas, sob as próprias políticas de privacidade delas; você digitaria os dados do seu cartão na janela da Paddle, nunca na nossa. Todas as páginas de ferramentas mantêm a regra rígida acima, sem alterações.

Uma exceção: nas páginas do Remover fundo e de foto para passaporte, nas páginas que leem texto de fotos e digitalizações (OCR), incluindo o Extrato bancário para Excel, que lê extratos digitalizados, e nos próprios arquivos dessas ferramentas, a regra também deixa seu navegador rodar WebAssembly (código de programa compilado e rápido, 'wasm-unsafe-eval'), porque o removedor de fundo precisa dele para encontrar o elemento principal da sua foto e o leitor de texto precisa dele para ler o texto. Esse código continua vindo só do pdfandphoto.com, e essas páginas continuam sem poder enviar nada para nenhum outro site.

Confira você mesmo em dois minutos

• Teste do modo avião. Abra uma das ferramentas grátis e use-a em um arquivo, para que a ferramenta fique carregada. Depois ative o modo avião ou desconecte-se da internet e use-a em outro arquivo. Ela continua funcionando, porque nada precisa ser enviado para lugar nenhum.
• Observe o tráfego. Em um computador, pressione F12 para abrir as ferramentas de desenvolvedor do navegador e escolha a aba Rede (Network). Use qualquer ferramenta: você vai ver a página carregar os arquivos de programa dela, e nenhuma solicitação que leve o seu arquivo.
• Leia a regra. Na mesma aba Rede, clique na primeira linha (a própria página), abra Cabeçalhos (Headers) e procure, na parte enviada pelo servidor (Cabeçalhos de resposta, ou Response Headers), por Content-Security-Policy.

Ou faça o teste aqui mesmo

Este botão faz esta página tentar quatro coisas que um site que vaza dados faria: enviar dados para outro site, carregar uma imagem de rastreamento, enviar uma mensagem em segundo plano e carregar código de programa de outro lugar. Ele direciona as tentativas para block-test.invalid, um endereço que nunca pode existir, então nada chegaria a lugar nenhum mesmo que um teste passasse. Depois, ele mostra o que o seu navegador fez.

Fazer o teste de bloqueio

O que fica no seu dispositivo, e por quanto tempo

• Os arquivos que você adiciona existem só na página aberta. Eles somem quando você a fecha.
• Os arquivos de programa do próprio site ficam guardados no seu navegador depois que você usa uma página uma vez, para que ela abra mais rápido e funcione offline. Nenhum desses arquivos contém nada seu.
• O removedor de fundo (cerca de 6 MB, usado por Remover fundo e pela ferramenta de foto para passaporte) só é baixado depois que você concorda e, a partir daí, fica guardado pelo seu navegador para não ser baixado de novo. Ele não contém nada seu.
• O leitor de texto (OCR, que lê o texto de fotos e digitalizações: cerca de 1,1 MB, mais 0,5 a 2 MB para cada idioma que você escolher) só é baixado depois que você concorda e, a partir daí, fica guardado pelo seu navegador para não ser baixado de novo. Os últimos idiomas que você escolheu ficam salvos neste navegador. Nada disso contém algo seu.
• Geradores de faturas e de orçamentos: os dados da sua empresa, o logo e as observações, e a fatura ou o orçamento em que você está trabalhando (cliente e itens), ficam guardados neste navegador, neste dispositivo, para você continuar depois. Toque em “Esquecer meus dados neste dispositivo” em qualquer um dos dois geradores para remover tudo o que os dois guardam.
• Dados das faturas em todos os seus dispositivos (Plus e Enterprise, só se você ativar): uma cópia do que os geradores de faturas e de orçamentos guardam fica na sua conta para poder chegar aos seus outros dispositivos, mas antes é bloqueada no seu dispositivo (AES-256-GCM), com uma chave criada no seu dispositivo que só os seus dispositivos e o seu código de recuperação têm. Nosso servidor guarda algo que não consegue abrir e recusa uma cópia bloqueada com outra chave, então um dispositivo com o código errado não consegue sobrescrever a sua. Se você perder o código e todos os seus dispositivos, ninguém consegue abrir a cópia, nem nós.
• Um PDF passado do visualizador de PDF para outra ferramenta (ou uma solicitação de assinatura passada do Preencher e assinar para o Solicitar assinaturas eletrônicas) fica guardado no armazenamento deste navegador até que a próxima ferramenta o abra, o que o remove. Se não for aberto, ele fica lá até você passar outro PDF ou limpar os dados do navegador.
• Outras coisas guardadas neste navegador, como sua escolha de tema claro ou escuro e as solicitações que você enviou para assinatura por link, estão listadas na nossa política de privacidade.
• As senhas que você define com Proteger PDF nunca saem do seu dispositivo. O PDF é protegido com AES-256, a criptografia padrão de PDF mais forte. Não conseguimos recuperar uma senha esquecida.

O que nosso servidor vê

Nosso servidor entrega as páginas e mantém registros técnicos padrão: seu endereço IP (o número que identifica sua conexão com a internet), o tipo de navegador, a página solicitada e o horário. Ele nunca recebe seus arquivos. Esta versão do site não usa ferramentas de estatísticas de visitantes (analytics) nem código de publicidade. Se isso mudar, nossa política de privacidade vai avisar antes.

Contas são opcionais. Sem uma conta, nossas páginas nunca entram em contato com o serviço de contas. Com uma, o serviço de contas em pdfandphoto.com guarda seu endereço de e-mail, sua senha apenas como um código embaralhado de mão única, seu plano, algumas contagens mensais, suas sessões de acesso e um registro de segurança; nunca arquivos. Toda alteração que uma página pede precisa vir de uma das nossas próprias páginas com um token de segurança correspondente, as notificações de pagamento precisam ter a assinatura da Paddle, as tentativas de acesso são limitadas, e os links que enviamos por e-mail funcionam uma única vez e expiram. O painel do administrador pede um código de um app autenticador, além da senha. A política de privacidade lista exatamente o que é guardado e por quanto tempo.

Documentos enviados para assinatura por link

Esta é a única exceção à regra de que os arquivos ficam no seu dispositivo, e você escolhe usá-la a cada vez. Quando você envia um documento por link para ser assinado (com uma conta grátis), seu navegador primeiro bloqueia o PDF com criptografia AES-256-GCM, usando uma nova chave aleatória criada no seu dispositivo. A chave fica só nos links, depois do “#”, a parte de um endereço da web que os navegadores nunca enviam a nenhum servidor. Assim, nosso servidor guarda um arquivo que não consegue abrir. O navegador de cada signatário desbloqueia o arquivo, adiciona a assinatura e o bloqueia de novo antes de ele ser salvo.

Apps de mensagens e verificadores de e-mail que acessam um link para mostrar uma prévia recebem a mesma página simples que qualquer outra pessoa, sem a chave, e a página não faz nada até que alguém toque em “Abrir o documento”. Nosso servidor registra, pelo próprio relógio, quando cada link é aberto e assinado, em um histórico em que cada entrada é encadeada à anterior por uma impressão digital (SHA-256), de modo que uma entrada alterada ou removida fica evidente. Qualquer pessoa com o link de alguém pode assinar como essa pessoa: não verificamos identidades.

Conexão

O site só é servido por uma conexão https criptografada, e o seu navegador é instruído a sempre usá-la.

Para empresas e equipes de TI

Como os arquivos são processados nos próprios dispositivos da sua equipe, documentos como contratos, extratos e cópias de documentos de identidade ficam dentro da sua organização (um documento que você envia para assinatura por link é bloqueado antes, para que nós não possamos abri-lo). Se precisar de algo para a sua própria avaliação de segurança, como respostas a um questionário, envie um e-mail para hello@pdfandphoto.com.

Como relatar um problema de segurança

Se você acha que encontrou um problema de segurança, envie um e-mail para hello@pdfandphoto.com. Pedimos que nos dê um prazo razoável para corrigi-lo antes de torná-lo público. Nossos dados de contato também estão publicados em /.well-known/security.txt, o lugar padrão onde pesquisadores de segurança procuram por eles.