ブラウザでのファイル変換とプライバシー：ドキュメントに実際何が起きるのか

アップロードしたファイルに実際起きること

典型的なクラウドコンバーターは、マーケティングページが示唆する以上のことを行っています。まずファイルはTLS経由でプロバイダーのサーバーにアップロードされます。処理はあなたが制御できないマシン上で、多くの場合共有インフラ上で行われます。出力はあなたに返送される必要があり、通常は少なくとももう一度サーバーを経由します。その間、原本と変換済みの作業コピーはどこか中間地点に存在します。

その「どこか」は、ファイルを数分で削除することもあればはるかに長く保持することもあるプロバイダーの保持ポリシーと、データセンターの管轄区域によって支配されます。多くのサービスは保存・キュー・ログ・分析を第三者に依存してもいます。ホップが一つ増えるごとに、あなたのドキュメントを一時的に保持する主体が一つ増え、個別に交渉していない条件が一つ増えます。

機密ドキュメントの脅威モデル

レシピ集ならこれらはどうでもよいことです。しかし未公開の契約書、患者記録、訴訟ファイル、NDA下の原稿では計算が変わります。脅威は悪意ある運営者があなたのPDFを読むことではなく、ディスク・バックアップ・ログに蓄積されるコピーです。それらは数えられず、要求どおりに削除できず、監査もできません。

機密情報は想像より長い尾を引きます。今日無害なドキュメントが、二年後には商業的・法的に微妙なものになり得ます。そして保持ポリシーを書くのはデータを作成した側ではなく、保持する側です。あなたが完全に制御できる唯一の保持ポリシーは、ファイルがデバイスから一度も出ないものです。

クライアント側変換の仕組み

ブラウザベースの変換は流れを逆転させます。ファイルではなくエンジンが移動するのです。サイトは変換エンジン（この場合はWebAssemblyにコンパイルされた本物のPandoc）をあなたのブラウザに読み込みます。WebAssemblyは通常のJavaScriptと同じセキュリティサンドボックス内で動作します。ファイルシステムへのアクセスはなく、独自のネットワーク権限もなく、ページが明示的に接続を開かない限り外部に通信する術もありません。

変換自体はWeb Worker内、つまりページUIとは別のバックグラウンドスレッドで実行されます。ドキュメントはメモリ上のバイト列としてワーカーに渡され、解析・変換・返却されます。あなたが起動するダウンロード以外にディスクへ書き込まれるものはなく、完了にサーバーとの往復も不要です。変換が終われば、それらのバイトは他の変数と同様にガベージコレクションされます。

自分で検証する方法

これらの主張は約二分で検証できます。ブラウザの開発者ツールを開き、Networkパネルに切り替え、コンバーターのページを読み込んでファイルをドロップしてください。クライアント側変換の間、パネルは空のままです。POSTもなく、アップロードの進行もなく、APIエンドポイントへの不可解なリクエストもありません。見えるのはページ自身が読み込んだアセットだけです。

さらに強い確認が二つあります。一つ目は、エンジンが取得・キャッシュされた後、サイトを読み込み、DevToolsでオフラインにするか接続を切って再度変換することです。それでも動くのは、ネットワークを必要とするものが何もない場合に限ります。二つ目はApplicationタブを見ることです。Cache Storageにキャッシュされたエンジンが表示され、保留中のアップロードのキューがどこにも存在しないことを確認できます。ローカルだと主張するあらゆるツールでこのテストを実行してください。約束ではなくパネルを信じましょう。

正直な限界

ローカル変換は魔法ではなく、誇張は誰の得にもなりません。エンジン自体（Pandocで数十メガバイト）は一度ダウンロードする必要があり、その最初の取得はあらゆるWebリクエストと同様に、あなたのIPアドレスとユーザーエージェントを配信ホストに開示します。またTLSと、配信されるコードの完全性にも依存します。

他の限界は環境由来です。ブラウザ拡張機能はページ内容を読み取れるため、悪意ある拡張はいかなるプライバシー主張も無効化します。侵害されたマシンはすべてを侵害します。そしてページは原理上、一度信頼された後に動作を変えることも可能です。健全な姿勢は、サイトごとに検証し、機密作業では拡張を最小限に抑え、大きな更新の後は再確認することです。

このサイトがローカルに保存するもの

このサイトでは、保存される状態は意図的に小さく抑えられています。Pandoc WebAssemblyエンジンはCache Storageにキャッシュされ、初回使用後はオフラインで変換できます。インターフェースはテーマ選択などの設定をローカルストレージに保持します。保有物の目録はこれですべてです。

ドキュメントは変換の実行中にのみメモリ上に存在し、出力がディスクに届くのはあなたがダウンロードをクリックしたからにほかなりません。削除すべきアカウントも、削除を要請すべきサーバー側コピーも、何を変換したかの分析記録もありません。タブを閉じれば、残るのはキャッシュされたエンジンとテーマだけです。

規制当局がデータ最小化を好む理由

データ保護法には、このアーキテクチャにきれいに対応する原則があります。GDPRのデータ最小化は、個人データを必要な範囲に限定することを求めます。ドキュメントを一切受け取らないコンバーターは、それをほぼ構造的に満たします。ファイルが回線を横切らなければ、審査すべき処理者も、締結すべきデータ処理契約も、変換ステップ自体について評価すべき越境移転も存在しません。

これは法的助言ではなく、あらゆるワークフローをコンプライアンス適合にするものでもありません。コンテンツは保存される場所ごとに適法に取り扱う必要があります。しかし変換をクライアントに移すことで、リスク評価から第三者への露出というカテゴリー全体が取り除かれます。プライバシー意識の高いチーム、病院、法律事務所が、ファイルをデバイス内に留めるツールをますます要求する理由はここにあります。

続きを読む

• クラウド変換 vs ローカル変換
• ブラウザで使う Pandoc CSL 引用