Skip to content
reader.me

Notatki techniczne

Model bezpieczeństwa

Przed czym reader.me chroni i przed czym nie. Napisane dla recenzentów bezpieczeństwa — bez marketingu.

Model zagrożeń

reader.me to SPA działająca w przeglądarce użytkownika.

Bronimy przed

  • Wyciekiem dokumentu przez upload (strukturalnie niemożliwe).
  • Wyciekiem przez JS osób trzecich (CSP).
  • Złośliwymi PDF-ami (PDF.js hartowany).
  • Brute-force na Protect (AES-128).
  • XSS przez nazwę pliku.

Nie bronimy przed

  • Złośliwymi rozszerzeniami przeglądarki.
  • Kompromitacją na poziomie OS.
  • MitM z współpracującym CA.
  • Bocznymi kanałami CPU.

Content Security Policy

CSP w public/_headers:
  • default-src 'self'
  • Kompromis 'unsafe-inline' dla hydratacji Astro.
  • connect-src bez endpointu dokumentów.

Polityka zależności i reakcja CVE

Trzy krytyczne silniki: PDF.js, pdf-lib, Tesseract.js.
  • SLA łatki krytycznej CVE: 72 h.
  • Tesseract samo-hostowany.
  • Zweryfikuj — przepis 30 sekund.

Bramy jakości w CI

  • Sprawdzanie czystości silnika.
  • Vitest 97% linii.
  • Playwright E2E.
  • axe-core a11y.
  • Lighthouse CI.

Zgłoszenie podatności

Odpowiedzialnie ujawnij emailem, aby publiczny raport nie naraził użytkowników na ryzyko:

[email protected] — opis + minimalne kroki reprodukcji.

Cel: potwierdzenie w 48 h, łatka krytyczna w 72 h.

Powiązane

reader.me to pomysł David Carrero, zbudowany w Color Vivo Internet S.L.