तकनीकी नोट्स
सुरक्षा मॉडल
reader.me क्या सुरक्षित करता है और क्या नहीं। सुरक्षा समीक्षकों के लिए लिखा गया — कोई मार्केटिंग नहीं।
Threat मॉडल
reader.me एक SPA है जो उपयोगकर्ता के ब्राउज़र के अंदर चलता है।
हम बचाव करते हैं
- अपलोड के माध्यम से दस्तावेज़ रिसाव (संरचनात्मक रूप से असंभव)।
- तीसरे पक्ष के JS के माध्यम से रिसाव (CSP)।
- दुर्भावनापूर्ण PDFs (PDF.js हार्डन्ड)।
- Protect पर ब्रूट-फ़ोर्स (AES-128)।
- फ़ाइलनाम के माध्यम से XSS।
हम बचाव नहीं करते
- दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन।
- OS-स्तर का समझौता।
- सहयोगी CA के साथ MitM।
- CPU साइड चैनल।
Content Security Policy
public/_headers में CSP:default-src 'self'- Astro हाइड्रेशन के लिए
'unsafe-inline'ट्रेड-ऑफ। - दस्तावेज़ एंडपॉइंट के बिना
connect-src।
निर्भरता नीति और CVE प्रतिक्रिया
तीन महत्वपूर्ण इंजन: PDF.js, pdf-lib, Tesseract.js।
- गंभीर CVE पैच SLA: 72 घंटे।
- Tesseract सेल्फ-होस्टेड।
- सत्यापित करें — 30 सेकंड की रेसिपी।
CI में गुणवत्ता गेट्स
- इंजन शुद्धता जाँच।
- Vitest 97% लाइन।
- Playwright E2E।
- axe-core a11y।
- Lighthouse CI।
भेद्यता की रिपोर्ट करें
सार्वजनिक रिपोर्ट से उपयोगकर्ताओं को जोखिम में डालने से बचने के लिए ईमेल द्वारा जिम्मेदारी से प्रकट करें:
[email protected] — विवरण और न्यूनतम पुनरुत्पादन कदम शामिल करें।
48 घंटे में स्वीकृति, 72 घंटे में गंभीर पैच का लक्ष्य।
संबंधित
- कैसे काम करता है → — वास्तुशिल्प वॉकथ्रू।
- गोपनीयता → — सरल भाषा में नीति संस्करण।
- vs iLovePDF / Smallpdf → — अगल-बगल वास्तुशिल्प तुलना।
reader.me इनका विचार है: David Carrero, Color Vivo Internet S.L. में निर्मित।