سیکیورٹی

آخری بار اپ ڈیٹ: 25 اکتوبر، 2026

ٹولز کیسے کام کرتے ہیں

جب آپ کوئی ٹول کھولتے ہیں تو آپ کا براؤزر اس ٹول کا پروگرام pdfandphoto.com سے ڈاؤن لوڈ کرتا ہے، بالکل اسی طرح جیسے وہ کوئی بھی ویب صفحہ ڈاؤن لوڈ کرتا ہے۔ اس کے بعد سب کچھ آپ کے فون یا کمپیوٹر پر ہوتا ہے۔ آپ کی PDF فائلیں اور تصاویر آپ کی ڈیوائس پر آپ کا براؤزر ہی پڑھتا، بدلتا اور محفوظ کرتا ہے۔ انہیں ہمیں یا کسی اور کو نہیں بھیجا جاتا۔

آپ کا براؤزر اس پر عمل کرواتا ہے

ہر صفحہ جو ہم بھیجتے ہیں اس کے ساتھ ایک سیکیورٹی اصول ہوتا ہے، جسے Content Security Policy کہتے ہیں، جو آپ کے براؤزر کو ہدایت دیتا ہے کہ:

• پروگرام کوڈ صرف pdfandphoto.com سے چلائے، کبھی کہیں اور سے نہیں؛
• صفحے کو صرف pdfandphoto.com سے جڑنے دے، تاکہ صفحہ پس پردہ خاموشی سے کوئی فائل یا متن کسی دوسری ویب سائٹ کو نہ بھیج سکے (connect-src 'self')؛
• ہمارے صفحات کو کبھی کسی دوسری ویب سائٹ کے اندر نہ دکھائے، جو جعلی سائٹس کی ایک چال ہے جس سے وہ لوگوں سے پاس ورڈ ٹائپ کروانے کی کوشش کرتی ہیں (frame-ancestors 'none')۔

یہ اصول ہم نہیں، آپ کا براؤزر لاگو کرتا ہے، اور خود صفحہ انہیں بند نہیں کر سکتا۔

ایک صفحہ جس میں کوئی ٹول نہیں، تھوڑا مختلف طریقے سے کام کرتا ہے، کیونکہ وہیں پیڈ پلان خریدا جائے گا: آپ کا اکاؤنٹ۔ اس کا اصول اسے Paddle کی ادائیگی کی ونڈو لوڈ کرنے کی اجازت بھی دیتا ہے، وہ کمپنی جو ہمارے پلانز بیچے گی (cdn.paddle.com سے پروگرام کوڈ اور buy.paddle.com سے ادائیگی کا فریم، یا ان کے Paddle کے ٹیسٹ ورژن)، اور Google کا "Sign in with Google" بٹن دکھانے کی (accounts.google.com/gsi/ سے)۔ Paddle اور Google کی ونڈوز وہ خود، اپنی رازداری کی پالیسیوں کے تحت، چلاتے ہیں؛ آپ اپنے کارڈ کی تفصیلات Paddle کی ونڈو میں ٹائپ کریں گے، کبھی ہماری ونڈو میں نہیں۔ ہر ٹول صفحہ اوپر والا سخت اصول بغیر کسی تبدیلی کے برقرار رکھتا ہے۔

ایک استثنا: بیک گراؤنڈ ہٹائیں اور پاسپورٹ فوٹو کے صفحات پر، تصاویر اور اسکین سے متن پڑھنے والے (OCR) صفحات پر، بشمول "بینک اسٹیٹمنٹ سے Excel" جو اسکین شدہ اسٹیٹمنٹس پڑھتا ہے، اور ان ٹولز کی اپنی فائلوں میں، یہ اصول آپ کے براؤزر کو WebAssembly (تیز، کمپائل شدہ پروگرام کوڈ، 'wasm-unsafe-eval') چلانے کی اجازت بھی دیتا ہے، کیونکہ بیک گراؤنڈ ریموور کو آپ کی تصویر کی مرکزی چیز تلاش کرنے کے لیے، اور ٹیکسٹ ریڈر کو متن پڑھنے کے لیے اس کی ضرورت ہوتی ہے۔ وہ کوڈ بھی صرف pdfandphoto.com سے ہی آتا ہے، اور یہ صفحات بھی کسی دوسری ویب سائٹ کو کچھ نہیں بھیج سکتے۔

دو منٹ میں خود چیک کریں

• فلائٹ موڈ ٹیسٹ۔ کوئی مفت ٹول کھول کر ایک فائل پر استعمال کریں، تاکہ ٹول لوڈ ہو جائے۔ پھر فلائٹ موڈ آن کریں یا انٹرنیٹ منقطع کریں، اور دوسری فائل پر استعمال کریں۔ یہ کام کرتا رہتا ہے، کیونکہ کچھ بھی کہیں بھیجنے کی ضرورت نہیں۔
• ٹریفک دیکھیں۔ کمپیوٹر پر براؤزر کے ڈیولپر ٹولز کھولنے کے لیے F12 دبائیں اور Network ٹیب چنیں۔ کوئی بھی ٹول استعمال کریں: آپ دیکھیں گے کہ صفحہ اپنی پروگرام فائلیں لوڈ کرتا ہے، اور کوئی ایسی درخواست نہیں جاتی جس میں آپ کی فائل ہو۔
• اصول پڑھیں۔ اسی Network ٹیب میں پہلی سطر (خود صفحہ) پر کلک کریں، Headers کھولیں، اور سرور کے بھیجے گئے حصے (Response Headers) میں Content-Security-Policy تلاش کریں۔

یا یہیں ٹیسٹ چلائیں

یہ بٹن اس صفحے سے وہ چار کام کرنے کی کوشش کرواتا ہے جو ڈیٹا لیک کرنے والی ویب سائٹ کرتی ہے: کسی دوسری ویب سائٹ کو ڈیٹا بھیجنا، ٹریکنگ تصویر لوڈ کرنا، پس پردہ پیغام بھیجنا، اور کہیں اور سے پروگرام کوڈ لوڈ کرنا۔ یہ انہیں block-test.invalid کی طرف بھیجتا ہے، ایک ایسا ایڈریس جو کبھی موجود نہیں ہو سکتا، اس لیے اگر کوئی ٹیسٹ گزر بھی جائے تو کچھ بھی کہیں نہیں پہنچ سکتا۔ پھر یہ دکھاتا ہے کہ آپ کے براؤزر نے کیا کیا۔

روکنے کا ٹیسٹ چلائیں

آپ کی ڈیوائس پر کیا رہتا ہے، اور کتنی دیر

• آپ کی شامل کی گئی فائلیں صرف کھلے ہوئے صفحے میں موجود ہوتی ہیں۔ صفحہ بند کرتے ہی یہ ختم ہو جاتی ہیں۔
• سائٹ کی اپنی پروگرام فائلیں کسی صفحے کو ایک بار استعمال کرنے کے بعد آپ کا براؤزر محفوظ رکھتا ہے، تاکہ وہ صفحہ جلدی کھلے اور آف لائن کام کرے۔ ان میں سے کسی فائل میں آپ کی کوئی چیز نہیں ہوتی۔
• بیک گراؤنڈ ریموور (تقریباً 6 MB، جسے "بیک گراؤنڈ ہٹائیں" اور پاسپورٹ فوٹو میکر استعمال کرتے ہیں) صرف آپ کی رضامندی کے بعد ڈاؤن لوڈ ہوتا ہے، اور پھر آپ کا براؤزر اسے محفوظ رکھتا ہے تاکہ یہ دوبارہ ڈاؤن لوڈ نہ ہو۔ اس میں آپ کی کوئی چیز نہیں ہوتی۔
• ٹیکسٹ ریڈر (OCR، جو تصاویر اور اسکین سے متن پڑھتا ہے: تقریباً 1.1 MB، اور ہر منتخب زبان کے لیے مزید 0.5 سے 2 MB) صرف آپ کی رضامندی کے بعد ڈاؤن لوڈ ہوتا ہے، اور پھر آپ کا براؤزر اسے محفوظ رکھتا ہے تاکہ یہ دوبارہ ڈاؤن لوڈ نہ ہو۔ آپ نے پچھلی بار جو زبانیں چنی تھیں، وہ اس براؤزر میں یاد رکھی جاتی ہیں۔ ان میں سے کسی میں بھی آپ کی کوئی چیز نہیں ہوتی۔
• انوائس اور کوٹیشن میکر: آپ کے کاروبار کی تفصیلات، لوگو اور نوٹس، اور جس انوائس یا کوٹیشن پر آپ کام کر رہے ہیں (گاہک اور اشیاء)، اسی ڈیوائس کے اسی براؤزر میں رکھی جاتی ہیں تاکہ آپ بعد میں کام جاری رکھ سکیں۔ دونوں میکرز جو کچھ رکھتے ہیں وہ سب ہٹانے کے لیے کسی بھی میکر میں "اس ڈیوائس پر میری تفصیلات بھول جائیں" دبائیں۔
• انوائس کی تفصیلات آپ کی تمام ڈیوائسز پر (Plus اور Enterprise، صرف تب جب آپ اسے آن کریں): انوائس اور کوٹیشن میکر جو کچھ رکھتے ہیں اس کی ایک کاپی آپ کے اکاؤنٹ میں محفوظ کی جاتی ہے تاکہ یہ آپ کی دوسری ڈیوائسز تک پہنچ سکے، لیکن پہلے اسے آپ کی ڈیوائس پر لاک کیا جاتا ہے (AES-256-GCM)، آپ کی ڈیوائس پر بنائی گئی ایک ایسی کی (key) سے جو صرف آپ کی ڈیوائسز اور آپ کے ریکوری کوڈ کے پاس ہے۔ ہمارا سرور ایسی چیز محفوظ کرتا ہے جسے وہ کھول نہیں سکتا، اور کسی دوسری کی سے لاک شدہ کاپی قبول نہیں کرتا، اس لیے غلط کوڈ والی ڈیوائس آپ کی کاپی کو اوور رائٹ نہیں کر سکتی۔ اگر آپ کا کوڈ اور آپ کی تمام ڈیوائسز گم ہو جائیں تو کوئی بھی کاپی نہیں کھول سکتا، ہم بھی نہیں۔
• PDF ویوور سے کسی دوسرے ٹول کو دی گئی PDF (یا "بھریں اور دستخط کریں" سے "ای سگنیچر کی درخواست" کو دی گئی دستخط کی درخواست) اسی براؤزر کی اپنی اسٹوریج میں تب تک رکھی جاتی ہے جب تک اگلا ٹول اسے کھول نہ لے، جو اسے ہٹا دیتا ہے۔ اگر یہ نہ کھولی جائے تو تب تک رہتی ہے جب تک آپ کوئی اور PDF آگے نہ دیں یا اپنے براؤزر کا ڈیٹا صاف نہ کریں۔
• اس براؤزر میں رکھی جانے والی دوسری چیزیں، جیسے آپ کا لائٹ یا ڈارک انتخاب اور لنک کے ذریعے دستخط کے لیے آپ کی بھیجی گئی درخواستیں، ہماری رازداری کی پالیسی میں درج ہیں۔
• PDF پر پاس ورڈ لگائیں سے لگائے گئے پاس ورڈ کبھی آپ کی ڈیوائس سے باہر نہیں جاتے۔ PDF کو AES-256 سے لاک کیا جاتا ہے، جو PDF کی سب سے مضبوط معیاری انکرپشن ہے۔ ہم بھولا ہوا پاس ورڈ واپس نہیں لا سکتے۔

ہمارا سرور کیا دیکھتا ہے

ہمارا سرور صفحات پہنچاتا ہے اور معیاری تکنیکی لاگز رکھتا ہے: آپ کا IP ایڈریس (وہ نمبر جو آپ کے انٹرنیٹ کنکشن کی شناخت کرتا ہے)، براؤزر کی قسم، مانگا گیا صفحہ اور وقت۔ اسے آپ کی فائلیں کبھی نہیں ملتیں۔ سائٹ کا یہ ورژن نہ وزیٹرز کے اعداد و شمار کے ٹولز (analytics) استعمال کرتا ہے، نہ اشتہارات کا کوڈ۔ اگر یہ بدلا تو ہماری رازداری کی پالیسی پہلے اس کی اطلاع دے گی۔

اکاؤنٹس اختیاری ہیں۔ اکاؤنٹ کے بغیر ہمارے صفحات کبھی اکاؤنٹ سروس سے رابطہ نہیں کرتے۔ اکاؤنٹ کے ساتھ، pdfandphoto.com پر اکاؤنٹ سروس آپ کا ای میل ایڈریس، آپ کا پاس ورڈ صرف یک طرفہ بگاڑے ہوئے کوڈ کی شکل میں، آپ کا پلان، چند ماہانہ گنتیاں، آپ کے سائن ان سیشن اور ایک سیکیورٹی لاگ رکھتی ہے؛ فائلیں کبھی نہیں۔ کوئی صفحہ جو بھی تبدیلی مانگے، وہ ہمارے اپنے کسی صفحے سے، میل کھاتے سیکیورٹی ٹوکن کے ساتھ آنی چاہیے، ادائیگی کی اطلاعات پر Paddle کے دستخط ہونے چاہئیں، سائن ان کی کوششیں محدود ہیں، اور ہمارے ای میل کیے گئے لنکس ایک بار کام کرتے ہیں اور ان کی میعاد ختم ہو جاتی ہے۔ ایڈمنسٹریٹر کا پینل پاس ورڈ کے ساتھ authenticator ایپ کا کوڈ بھی مانگتا ہے۔ رازداری کی پالیسی بالکل ٹھیک بتاتی ہے کہ کیا رکھا جاتا ہے اور کتنی دیر تک۔

لنک کے ذریعے دستخط کے لیے بھیجی گئی دستاویزات

فائلوں کے آپ کی ڈیوائس پر رہنے کا یہ واحد استثنا ہے، اور اسے ہر بار آپ خود چنتے ہیں۔ جب آپ (مفت اکاؤنٹ کے ساتھ) کوئی دستاویز لنک کے ذریعے دستخط کے لیے بھیجتے ہیں، تو آپ کا براؤزر پہلے PDF کو AES-256-GCM انکرپشن سے لاک کرتا ہے، آپ کی ڈیوائس پر بنائی گئی ایک نئی بے ترتیب کی (key) استعمال کرتے ہوئے۔ کی صرف لنکس میں ہوتی ہے، "#" کے بعد، ویب ایڈریس کا وہ حصہ جو براؤزر کبھی کسی سرور کو نہیں بھیجتے۔ اس لیے ہمارا سرور ایسی فائل رکھتا ہے جسے وہ کھول نہیں سکتا۔ ہر دستخط کنندہ کا براؤزر اسے ان لاک کرتا ہے، ان کے دستخط شامل کرتا ہے اور محفوظ ہونے سے پہلے اسے دوبارہ لاک کر دیتا ہے۔

لنک کا پیش منظر دکھانے کے لیے اسے کھولنے والی چیٹ ایپس اور ای میل اسکینرز کو وہی سادہ صفحہ ملتا ہے جو ہر کسی کو ملتا ہے، کی (key) کے بغیر، اور صفحہ تب تک کچھ نہیں کرتا جب تک کوئی شخص "دستاویز کھولیں" نہ دبائے۔ ہمارا سرور اپنی گھڑی کے مطابق ریکارڈ کرتا ہے کہ ہر لنک کب کھولا گیا اور اس پر کب دستخط ہوئے، ایک ایسے لاگ میں جس کا ہر اندراج پچھلے اندراج سے ایک فنگر پرنٹ (SHA-256) کے ذریعے جڑا ہوتا ہے، اس لیے بدلا یا ہٹایا گیا اندراج نظر آ جاتا ہے۔ کسی شخص کا لنک رکھنے والا کوئی بھی اس شخص کے طور پر دستخط کر سکتا ہے: ہم شناخت چیک نہیں کرتے۔

کنکشن

سائٹ صرف انکرپٹڈ https کنکشن پر پیش کی جاتی ہے، اور آپ کے براؤزر کو ہمیشہ یہی استعمال کرنے کا کہا جاتا ہے۔

کاروباروں اور IT ٹیموں کے لیے

چونکہ فائلوں پر کام آپ کے عملے کی اپنی ڈیوائسز پر ہوتا ہے، اس لیے معاہدے، اسٹیٹمنٹس اور شناختی کارڈ کی کاپیوں جیسی دستاویزات آپ کے ادارے کے اندر ہی رہتی ہیں (لنک کے ذریعے دستخط کے لیے بھیجی گئی دستاویز پہلے لاک کی جاتی ہے، اس لیے ہم اسے نہیں کھول سکتے)۔ اگر آپ کو اپنے سیکیورٹی جائزے کے لیے کچھ چاہیے، جیسے کسی سوالنامے کے جوابات، تو hello@pdfandphoto.com پر ای میل کریں۔

سیکیورٹی کے کسی مسئلے کی اطلاع دینا

اگر آپ کو لگتا ہے کہ آپ کو سیکیورٹی کا کوئی مسئلہ ملا ہے تو hello@pdfandphoto.com پر ای میل کریں۔ براہِ کرم اسے عام کرنے سے پہلے ہمیں اسے ٹھیک کرنے کے لیے مناسب وقت دیں۔ ہمارے رابطے کی تفصیلات /.well-known/security.txt میں بھی شائع ہیں، جو وہ معیاری جگہ ہے جہاں سیکیورٹی محققین انہیں تلاش کرتے ہیں۔