Stacca la rete: quali strumenti per file online caricano davvero il tuo documento

«Sicuro» risponde a una domanda che nessuno ha fatto

Guarda in cima a quasi qualsiasi strumento PDF online e troverai le stesse tre rassicurazioni: la connessione è cifrata, i file vengono cancellati, i server sono sicuri. Ognuna di queste affermazioni può essere del tutto vera mentre la cosa che volevi davvero sapere resta senza risposta. La cifratura in transito protegge il file da chi ascolta il cavo. Non fa nulla contro il server all'altro capo, che per definizione riceve il file decifrato, perché gli serve così per lavorarci.

La cancellazione dopo una finestra fissa è un impegno vero e che vale la pena avere, ma è una promessa sul futuro, non una descrizione del presente. Fra il caricamento e la cancellazione c'è un intervallo durante il quale una copia completa del tuo documento sta su hardware che non controlli. Per iLovePDF quell'intervallo arriva a due ore per sua stessa ammissione; per gli strumenti gratuiti di Smallpdf è di un'ora, e di quattordici giorni per tutto ciò che passa dalla firma elettronica o dalla condivisione. Sono fra le finestre più brevi del settore. Il punto non è che siano lunghe. Il punto è che la domanda «per quanto viene conservato?» esiste solo perché la risposta a «viene inviato, del resto?» era sì.

Nulla di ciò rende quei servizi inaffidabili. Sono grandi, sono sottoposti ad audit, e una finestra di due ore è un impegno ingegneristico reale che costa denaro mantenere. Li rende una cosa di natura diversa da uno strumento che il file non lo riceve mai, ed è sulla natura che si sceglie quando il documento è una busta paga, un referto medico, un contratto in trattativa o dati di un cliente di cui rispondi legalmente.

Perché staccare la rete è l'unico test che non si può aggirare

Uno strumento che elabora file su un server non ha modo di finire il lavoro senza rete. Non c'è ripiego astuto né cache che salvi: il codice che fa il lavoro non è sulla tua macchina, quindi a connessione staccata non può girare. Uno strumento che elabora file nel browser ha già scaricato tutto ciò che gli serve quando premi il pulsante, e perciò non si accorge che la rete è sparita. Il test funziona perché chiede al software una cosa di cui solo una delle due architetture è fisicamente capace.

C'è una complicazione onesta, e conviene conoscerla perché il risultato non ti inganni. Gli strumenti che girano nel browser sono di solito voluminosi — un motore video compilato in WebAssembly pesa decine di megabyte — e scaricano quel motore al primo uso. Se ti disconnetti prima che quel download sia finito, uno strumento del tutto locale fallirà, e sembrerà un caricamento. Il rimedio è nel primo passo qui sopra: lascia assestare la pagina, usa lo strumento una volta da connesso, e solo allora stacca. Quello che stai testando è se il file si muove, non se il programma può materializzarsi dal nulla.

Da dove arriva il motore è una questione a parte

Superare il test offline dimostra che il tuo file è rimasto dov'era. Non dimostra che non sia stato comunicato nulla, perché molti strumenti che girano nel browser caricano il loro WebAssembly da un CDN pubblico anziché dal proprio dominio. Quella singola richiesta dice all'operatore del CDN il tuo indirizzo IP, il tuo browser, la pagina in cui eri e quindi cosa stavi per fare. Il file è privato; il fatto che tu ne abbia convertito uno no.

Questo sito serve i propri. Il motore audio e video viene preso da /ffmpeg/ su questo dominio e il worker di rendering PDF da /pdfjs/, così l'unica parte che viene a sapere che hai aperto uno strumento per file è il sito che hai deliberatamente aperto. È poca cosa accanto al non caricare il documento, ed è esattamente il tipo di piccolezza che si salta quando un link a un CDN è una riga di codice e l'auto-hosting è un passaggio di build.

Quanto ti costa davvero l'elaborazione nel browser

Sarebbe disonesto presentarlo come gratuito. Il lavoro fatto nel tuo browser gira sul tuo processore, nella tua memoria, ed è limitato da entrambi. Una server farm può buttare trentadue core su un video da due gigabyte; il tuo portatile no, e su un telefono il sistema può semplicemente uccidere la scheda per consumo di memoria. Su file multimediali molto grandi un servizio con caricamento sarà davvero più veloce, e a volte sarà l'unico ad arrivare in fondo.

Il compromesso è anche disuguale per tipo di file, e la versione onesta merita di essere detta. Il lavoro strutturale sui PDF, il ridimensionamento e la compressione delle immagini, i sottotitoli e il testo, e la maggior parte delle operazioni audio stanno comodamente in un browser su hardware ordinario. È la transcodifica video lunga a far scendere in fretta il soffitto. Se il file è abbastanza piccolo perché lo strumento locale arrivi in fondo, non c'è motivo di mandarlo da nessuna parte; se non lo è, quella è una ragione vera per scegliere altro, e una ragione migliore di un bollino commerciale.

Quando smette di essere una preferenza e diventa un obbligo

Per una foto delle vacanze niente di tutto questo conta. Per documenti trattati sul lavoro può smettere di essere questione di gusto. In base al GDPR, inviare a un servizio online un file contenente dati personali altrui rende quel servizio un responsabile del trattamento che agisce per tuo conto, e questo assetto richiede un contratto con il contenuto fissato dall'articolo 28 — non una casella, un accordo vero. Caricare una lista clienti, un lotto di candidature o una serie di moduli sanitari su uno strumento web gratuito è, in senso stretto, un trasferimento di cui rispondi e che probabilmente non hai formalizzato.

L'attrattiva di uno strumento che il file non lo riceve mai è che la domanda si dissolve invece di ricevere risposta. Nessun responsabile, perché non c'è trattamento per conto altrui; nessun trasferimento da documentare, nessun periodo di conservazione da conciliare col tuo, nessuna notifica di violazione da considerare su quel percorso. Se questo ti importi dipende interamente da cosa c'è nel documento — ed è per questo che il test di questo articolo merita di essere fatto una volta su ciò che già usi, prima del giorno in cui conterà.

Una lista applicabile in un minuto

Fai prima il test offline, perché risponde all'unica domanda che ammette un sì o un no netto. Se lo strumento lo supera, guarda da dove è arrivato il motore: apri la scheda Rete a caricamento fresco e osserva i domini, non i nomi dei file. Se tutto arriva dal dominio del sito stesso, nessuno all'esterno ha saputo del tuo passaggio. Se lo strumento fallisce il test, sei dal lato del caricamento, e le domande utili successive sono quelle a cui il servizio deve rispondere per iscritto: per quanto viene conservato, in quale paese, e se c'è modo di cancellare subito invece di aspettare la scadenza.

Un'ultima abitudine da prendere, qualunque cosa tu scelga: giudica lo strumento da ciò che fa con i file banali, non con quelli sensibili. Nessuno decide con calma nel momento in cui sta per mandare un contratto. Si usa quello che si è usato la volta prima.

Domande frequenti

Il test offline è affidabile, o uno strumento può aggirarlo?

Non può essere aggirato nella direzione che conta. Uno strumento che ha bisogno di un server non può produrre il tuo file convertito senza di esso: il codice semplicemente non è sulla tua macchina. Il guasto va nell'altro senso: uno strumento davvero locale può fallire il test se stacchi prima che abbia finito di scaricare il suo motore, ed è per questo che conviene lasciar caricare la pagina e usarlo una volta da connesso. Uno strumento potrebbe anche lavorare in locale e mandare comunque una copia altrove, cosa che il test offline non vedrebbe; a questo serve la scheda Rete, ed è la ragione della seconda metà della lista.

Se il file non lascia mai il browser, da dove arriva il download?

Dalla pagina stessa. Lo strumento costruisce il risultato in memoria e lo consegna al browser come blob, e il browser lo salva esattamente come salverebbe qualcosa preso da un server — stessa finestra, stessa cartella dei download. Nulla nel download indica dove i byte sono stati prodotti, ed è proprio per questo che il test offline è più informativo del guardare il file arrivare.

I servizi con caricamento sono dunque insicuri?

No, e sarebbe una cattiva lettura di questo articolo concluderlo. Cifrano in transito, cancellano secondo un calendario pubblicato, e i grandi sono sottoposti ad audit con standard che la maggior parte dei siti piccoli non raggiunge mai. La distinzione è che creano una finestra e una giurisdizione dove prima non c'erano, e conviene sapere che se ne sta creando una. Per la maggior parte dei file è un buon scambio, e per un video da due gigabyte può essere l'unico praticabile.

Uno strumento nel browser continua se chiudo la scheda a metà?

No, ed è il rovescio della garanzia. Il lavoro esiste solo dentro la pagina: chiudere la scheda lo interrompe e non c'è nulla da riprendere — nessuna coda su un server tiene il tuo compito. Su una conversione video lunga, tieni la scheda in primo piano: alcuni browser limitano le schede in secondo piano al punto da rallentare moltissimo il lavoro, e un telefono può riprendersi la memoria del tutto.

Quali file meritano davvero questo livello di attenzione?

Tutto ciò che contiene dati personali altrui, perché lì non è una preferenza ma una questione di conformità — liste clienti, candidature, documenti sanitari, fascicoli scolastici. Poi tutto ciò la cui divulgazione ti danneggerebbe direttamente: buste paga, estratti conto, documenti d'identità, un contratto prima della firma, lavoro inedito. Per un menù di ristorante o una foto delle vacanze la risposta sensata è usare il più rapido. Il motivo per sapere quale strumento usi è che le abitudini prese sul menù sono quelle che applicherai al contratto.