Wat er werkelijk gebeurt met een bestand dat je van een website 'verwijdert'

Je uploadt een document naar een online hulpmiddel, het doet zijn ding, en een geruststellende regel zegt dat je bestand na een uur wordt verwijderd. Je sluit het tabblad en voelt je prima. Maar wat is er werkelijk met dat bestand gebeurd, en wat betekent “verwijderd” eigenlijk zodra het op de servers van iemand anders staat? Het loont de moeite om ernaar te kijken, want het comfortabele antwoord en het eerlijke antwoord zijn niet hetzelfde.

“Verwijderd” is een belofte, geen garantie

Hier zit het kernprobleem: zodra je bestand op een server staat die jij niet beheert, heb je geen enkele manier om er iets over te verifiëren. De boodschap “na een uur verwijderd” is een beleidsverklaring. Je vertrouwt erop zoals je elke zin op een website vertrouwt. Er is geen bewijs, geen bevestiging, geen manier voor jou om te controleren of het ook echt is gebeurd.

Dat betekent niet dat elke dienst liegt. Veel diensten proberen oprecht bestanden volgens schema te verwijderen. Het punt is enger en lastiger: jij kunt het niet bevestigen. Je neemt het op goed geloof aan, en “vertrouw me” is een zwakke basis voor iets gevoeligs.

Waar een “verwijderd” bestand kan blijven hangen

Zelfs met goede bedoelingen is één verwijderactie zelden het hele verhaal van het leven van een bestand op een server:

• Back-ups. Servers worden routinematig geback-upt. Een bestand dat uit het live systeem is verwijderd, kan dagen of weken in een back-upmomentopname blijven staan, met opzet, zonder enige kwade wil.
• Caches en kopieën. Bestanden bewegen door caches, tijdelijke opslag en content delivery networks. Een “verwijdering” op de hoofdopslag bereikt niet altijd onmiddellijk elke vluchtige kopie.
• Logboeken. Zelfs als het bestand zelf verdwijnt, kunnen gegevens erover, wanneer het werd geüpload, vanwaar, de naam, de metadata, blijven staan in logboeken die het document overleven.
• Derden en rechtsgebied. De dienst kan draaien op infrastructuur die van iemand anders wordt gehuurd, in een land met andere regels. Het lot van je bestand wordt nu bepaald door een keten van partijen waar je nog nooit van hebt gehoord.

Niets hiervan vereist dat iemand te kwader trouw handelt. Het is gewoon hoe serverinfrastructuur normaal gesproken werkt. “Verwijderd” is rommeliger dan één zelfverzekerde zin doet vermoeden.

En dat is nog het goede geval

Het bovenstaande gaat uit van een zorgvuldige, welwillende dienst. Diezelfde upload stelt je ook bloot aan de slechte gevallen: een datalek dat opgeslagen bestanden lekt, een wijziging in het beleid of eigendom van het bedrijf, een juridische eis tot gegevens, of simpelweg een dienst die nooit zo zorgvuldig was als zijn homepage beweerde. Zodra het bestand uit je handen is, vallen al deze dingen buiten je controle.

Het enige bestand waarover je zeker kunt zijn

Er bestaat precies één versie van een PDF waarvan je het lot volledig zeker weet: de versie die nooit werd geüpload. Een bestand dat je computer nooit heeft verlaten, heeft geen back-ups op de server van een vreemde, niets in iemands logboeken, geen blootstelling aan een datalek waarover je volgend jaar leest. Er is niets om te verwijderen omdat er om te beginnen nooit een kopie was. Dat is geen sterkere belofte; het is de afwezigheid van de noodzaak ervan.

Dit is het hele idee achter reader.me. De hulpmiddelen draaien in je browser, op je eigen apparaat. Wanneer je een pdf samenvoegt, comprimeert of beveiligt, wordt het bestand in het geheugen op je computer gelezen, daar verwerkt en weer aan jou teruggegeven. Het wordt nooit geüpload. Je hoeft niet op een verwijderbeleid te vertrouwen, want er is geen serverkopie waarvan je de verwijdering zou moeten vertrouwen.

En dat kun je verifiëren, wat een hulpmiddel op basis van uploads nooit kan bieden. Open een willekeurig reader.me-hulpmiddel, open de ontwikkelaarstools (F12) en kijk naar het tabblad Netwerk terwijl je werkt, je ziet niets weggaan. Of schakel je internet helemaal uit en gebruik het offline. Het werkt nog steeds, wat alleen mogelijk is omdat het bestand nooit ergens heen ging.

De conclusie

“Wij verwijderen je bestanden” vraagt je om een belofte te vertrouwen die je niet kunt controleren, over kopieën die je niet kunt zien, op servers die je nooit zult bezoeken. Voor een vakantiefoto: prima. Voor iets dat er werkelijk toe doet, een contract, een medisch dossier, een identiteitsbewijs, is het betere antwoord geen betere belofte. Het is het bestand helemaal niet uploaden. Doe het werk in je browser, en de vraag wat er met je bestand gebeurt op de server van iemand anders komt simpelweg nooit op.