セキュリティとプライバシー

StayPDFがあなたのPDFを安全に扱うための技術的な仕組み

なぜ「サーバーに送信しない」ことが重要か

多くのオンラインPDFツールは、あなたがアップロードしたファイルをサーバー上で処理します。これは便利ですが、次のリスクが避けられません。

  • サービス提供者の従業員がファイル内容を見られる可能性
  • サーバーがハッキングされた場合、ファイルが流出する可能性
  • ログ・バックアップにファイル内容が残る可能性
  • 法的開示請求でファイルが第三者に渡る可能性

StayPDFは、これらのリスクを構造的に排除するため、サーバー処理を一切行わず、すべての操作をあなたのブラウザ内で完結させています。私たちのサーバーには、あなたのファイルが届くことすらありません。

技術的にどう実現しているか

1. クライアントサイド処理

PDF結合・分割・圧縮・画像変換のすべてを、あなたのブラウザ上で pdf-lib や pdf.js といったオープンソースライブラリで処理します。サーバーには「処理結果を送信して」というリクエストすら発生しません。

2. Content Security Policy (CSP) によるブラウザレベルの強制

万が一StayPDFのコードに脆弱性があったり、配信経路が侵害されたりしても、ブラウザがあなたを守るように Content Security Policy を厳格に設定しています。

処理ページ（PDF結合・分割・圧縮・画像→PDF・PDF→画像）に適用されているCSPは次のとおりです:

Content-Security-Policy:
  default-src 'self';
  script-src 'self' 'wasm-unsafe-eval' blob:;
  connect-src 'self';
  worker-src 'self' blob:;
  object-src 'none';
  frame-ancestors 'none';
  ...

特に重要なのは connect-src 'self' の指定です。これにより、処理ページから StayPDF 自身のドメイン以外への通信は、ブラウザレベルで物理的に遮断されます。スクリプトが「ファイルを外部に送信しよう」としても、ブラウザがリクエスト自体を拒否します。

3. 第三者スクリプトの排除

処理ページからは、Google Analytics を含むすべての第三者スクリプトを削除しています。これにより、PDFを扱う画面では StayPDF が配信するコード以外、一切のコードが実行されない状態になっています。

ホームページとブログ記事ページではアクセス解析のため Google Analytics を使用していますが、これらのページではPDFファイルを扱うことはありません。

自分で検証する方法

「本当にファイルが送信されていないか」は、あなた自身がブラウザの開発者ツールで確認できます。

  1. PDF結合ツールなどの処理ページを開く
  2. キーボードで F12（または Mac は Cmd+Option+I）を押して開発者ツールを開く
  3. 「Network（ネットワーク）」タブを選択し、記録を開始
  4. PDFファイルを選んで結合などの処理を実行
  5. 処理が完了しても、ファイルがどこかにアップロードされる通信が 一切発生しないことを確認できます

これは StayPDF だけでなく、競合のオンラインサービスでも同じ手順で検証できます。比較してみると違いが明確に分かります。

競合サービスとの比較

項目 StayPDF 従来型オンラインサービス
ファイルのアップロード なし あり
処理場所 あなたのブラウザ内 サービス提供者のサーバー
提供者がファイルを見られるか 不可能 技術的には可能
サーバーハッキング時の流出リスク なし(保管していない) あり
処理ページの第三者スクリプト なし 多くは複数搭載
外部送信のブラウザレベル防止 CSPで強制 サービスのコードに依存

適用範囲と注意点

上記のプライバシー保証は、StayPDFが現在提供しているすべてのPDFツール(結合・分割・圧縮・画像変換・パスワード解除・ページ整理・透かし追加・署名・ページ番号追加など)に適用されます。

将来、サーバー処理を必要とする高度な機能(クラウド保存・端末間同期・AI機能など)を追加する可能性がありますが、その場合は該当機能を利用する場面で必ず明示します。ブラウザ内で完結する既存ツールのクライアント処理方針は今後も維持します。

技術的に防げないこと

誠実さのため、StayPDFの仕組みでも防げないリスクも明記します。

  • あなたのPCがマルウェアに感染している場合 — どのWebサービスを使っても安全ではありません
  • 悪意あるブラウザ拡張機能を入れている場合 — 拡張機能はWebページの内容にアクセスできる権限を持ち得ます
  • StayPDFの配信経路(Cloudflare)が侵害された場合 — ただしCSPにより外部送信はブラウザがブロックするため、被害は最小化されます
  • ブラウザ自体のゼロデイ脆弱性 — 最新版のブラウザを使用してください

これらは StayPDF に限らず、すべてのWebサービスに共通するリスクです。

セキュリティに関するご連絡

StayPDFの脆弱性を発見された場合や、セキュリティに関するご質問は [email protected] までご連絡ください。誠実に対応いたします。