安全

最后更新：2026年10月25日

工具的工作方式

当您打开一个工具时，您的浏览器会从 pdfandphoto.com 下载该工具的程序，就像下载任何网页一样。之后，一切都在您的手机或电脑上进行。您的 PDF 和照片由您设备上的浏览器读取、修改和保存，不会发送给我们或任何其他人。

由您的浏览器强制执行

我们发送的每个页面都带有一条安全规则，称为内容安全策略（Content Security Policy），它告诉您的浏览器：

• 只运行来自 pdfandphoto.com 的程序代码，绝不运行来自其他任何地方的代码；
• 只允许页面连接 pdfandphoto.com，这样页面就无法在后台悄悄把文件或文字发送到其他网站（connect-src 'self'）；
• 绝不在其他网站中显示我们的页面，这是虚假网站诱骗用户输入密码时使用的一种伎俩（frame-ancestors 'none'）。

这些规则由您的浏览器执行，而不是由我们执行，页面本身也无法关闭它们。

有一个不包含工具的页面运作方式略有不同，因为那里是购买付费方案的地方：您的账号。它的规则还允许它加载 Paddle（将销售我们方案的公司）的付款窗口（来自 cdn.paddle.com 的程序代码和来自 buy.paddle.com 的付款框架，或它们的 Paddle 测试版本），并显示 Google 的“使用 Google 登录”按钮（来自 accounts.google.com/gsi/）。Paddle 和 Google 的窗口由它们自己运营，适用它们自己的隐私政策；您会在 Paddle 的窗口中输入银行卡信息，绝不会在我们的窗口中输入。每个工具页面都保持上述严格规则不变。

一个例外：在去除背景和护照照片页面上，在从照片和扫描件中识别文字（OCR）的页面上（包括识别扫描版对账单的“银行对账单转 Excel”），以及这些工具自己的文件中，规则还允许您的浏览器运行 WebAssembly（快速的编译型程序代码，'wasm-unsafe-eval'），因为背景去除组件需要用它找出照片的主体，文字识别组件需要用它识别文字。这些代码仍然只来自 pdfandphoto.com，这些页面也仍然无法向任何其他网站发送任何内容。

两分钟内自行验证

• 飞行模式测试。打开一个免费工具，用它处理一个文件，让工具加载完成。然后开启飞行模式或断开网络，再用它处理另一个文件。它仍然可以使用，因为不需要向任何地方发送任何内容。
• 查看网络流量。在电脑上按 F12 打开浏览器的开发者工具，选择“网络”（Network）标签页。使用任意工具：您会看到页面加载其程序文件，但不会看到任何携带您文件的请求。
• 查看规则。在同一个“网络”标签页中，点击第一行（即页面本身），打开“标头”（Headers），在服务器发送的部分（“响应标头”，Response Headers）中查找 Content-Security-Policy。

或者直接在这里运行测试

这个按钮会让本页面尝试做四件泄露数据的网站会做的事：向其他网站发送数据、加载跟踪图片、发送后台消息，以及从其他地方加载程序代码。这些尝试的目标是 block-test.invalid，一个永远不可能存在的地址，所以即使某项测试通过了，也不会有任何内容到达。然后，它会显示您的浏览器做了什么。

运行拦截测试

哪些内容会保留在您的设备上，保留多久

• 您添加的文件只存在于打开的页面中。关闭页面后，它们就会消失。
• 网站自己的程序文件在您使用过一次页面后会由您的浏览器保存，这样该页面打开得更快，并且可以离线使用。这些文件都不包含您的任何内容。
• 背景去除组件（约 6 MB，供“去除背景”和“护照和证件照”工具使用）只有在您同意后才会下载，之后由您的浏览器保存，因此不会重复下载。其中不包含任何属于您的内容。
• 文字识别组件（OCR，用于从照片和扫描件中读取文字：约 1.1 MB，您选择的每种语言另需 0.5 至 2 MB）只有在您同意后才会下载，之后由您的浏览器保存，因此不会重复下载。您上次选择的语言会记在此浏览器中。这些都不包含任何属于您的内容。
• 发票和报价单生成器：您的商家信息、Logo 和备注，以及您正在制作的发票或报价单（客户和项目），都保存在这台设备的这个浏览器中，以便您稍后继续。在任一生成器中点击“在此设备上清除我的信息”，即可删除两个生成器保存的全部内容。
• 在您的所有设备上同步发票信息（Plus 和 Enterprise，仅在您开启时）：发票生成器和报价单生成器所保存内容的一份副本会存储在您的账号中，以便同步到您的其他设备，但它会先在您的设备上加密（AES-256-GCM），使用在您设备上生成、只有您的设备和您的恢复码才有的密钥。我们的服务器保存的是它无法打开的内容，并会拒绝使用不同密钥加密的副本，所以代码错误的设备无法覆盖您的副本。如果您丢失了代码以及您的所有设备，任何人都无法打开这份副本，连我们也不行。
• 从 PDF 阅读器传递给其他工具的 PDF（或从“填写并签署”传递给“发起电子签名”的签署请求）会保存在此浏览器自己的存储空间中，直到下一个工具打开它，打开后即被删除。如果它没有被打开，就会一直保留，直到您传递另一个 PDF 或清除浏览器数据。
• 保存在此浏览器中的其他内容，例如您选择的浅色或深色模式以及您通过链接发送的签署请求，都列在我们的隐私政策中。
• 您用加密 PDF 设置的密码绝不会离开您的设备。PDF 使用 AES-256 加密，这是 PDF 标准中最强的加密方式。我们无法找回忘记的密码。

我们的服务器能看到什么

我们的服务器负责提供页面，并保存标准的技术日志：您的 IP 地址（标识您网络连接的数字）、浏览器类型、所请求的页面和时间。它绝不会接收您的文件。本版本的网站不使用任何访客统计工具（分析工具），也没有广告代码。如果情况有变，我们的隐私政策会事先说明。

账号是可选的。没有账号时，我们的页面绝不会联系账号服务。有账号时，pdfandphoto.com 上的账号服务会保存您的电子邮件地址、仅以单向加密代码形式保存的密码、您的方案、少量每月计数、您的登录会话和一份安全日志；绝不保存文件。页面请求的每一项更改都必须来自我们自己的页面并带有匹配的安全令牌，付款通知必须带有 Paddle 的签名，登录尝试次数受到限制，我们通过邮件发送的链接只能使用一次并会过期。管理员面板除了密码之外，还要求输入身份验证器应用中的代码。隐私政策准确列出了保存哪些内容以及保存多久。

通过链接发送签署的文件

这是“文件留在您的设备上”的唯一例外，而且每次都由您自己选择。当您通过链接发送签署文件时（使用免费账号），您的浏览器会先用在您设备上生成的新随机密钥，以 AES-256-GCM 加密方式加密 PDF。密钥只存在于链接中“#”之后的部分，而浏览器绝不会把网址的这一部分发送给任何服务器。所以我们的服务器保存的是一个它无法打开的文件。每位签署人的浏览器会解密文件、添加其签名，并在保存之前重新加密。

聊天应用和电子邮件扫描程序为显示预览而获取链接时，得到的是与其他人一样的普通页面，不含密钥，而且在有人点击“打开文件”之前，页面不会执行任何操作。我们的服务器会按自己的时钟记录每个链接何时被打开和签署，记录在一份日志中，每个条目都通过数字指纹（SHA-256）与前一个条目串联，所以任何被修改或删除的条目都会显现出来。任何持有某人链接的人都可以以该人的身份签署：我们不核实身份。

连接

本网站只通过加密的 https 连接提供服务，并且会告知您的浏览器始终使用这种连接。

面向企业和 IT 团队

由于文件在您员工自己的设备上处理，合同、对账单和身份证复印件等文件始终留在您的机构内部（通过链接发送签署的文件会先被加密，所以我们无法打开）。如果您自己的安全审查需要任何资料，例如问卷的答复，请发邮件到 hello@pdfandphoto.com。

报告安全问题

如果您认为自己发现了安全问题，请发送电子邮件至 hello@pdfandphoto.com。请在公开之前给我们合理的修复时间。我们的联系方式也发布在 /.well-known/security.txt 中，这是安全研究人员查找联系方式的标准位置。