Was ein PDF-Tool in deinem Google Drive sehen kann

Drei Stufen, und sie liegen nicht nahe beieinander

Wenn eine Website mit deinem Drive arbeiten will, muss sie einen Scope nennen — die Berechtigung, um die sie bittet. Google sortiert diese in Stufen, danach, wie viel Schaden die falsche App damit anrichten könnte.

drive.file ist die schmale. Die Website darf die Dateien öffnen, die du ihr ausdrücklich über die eigene Dateiauswahl von Google übergibst, und die Dateien, die sie selbst erzeugt. Alles andere in deinem Drive ist nicht bloß gesperrt — es ist unsichtbar. Es gibt keine Anfrage, die die Website stellen kann und die eine Datei zurückgibt, die du nicht gewählt hast. Google ordnet das als nicht sensibel ein.

drive.readonly und drive.metadata.readonly umfassen das gesamte Drive, zum Lesen. Jedes Dokument, jeden Ordner, jeden Namen. Google ordnet diese als eingeschränkt ein, und eine Website, die eine davon nutzt, muss jedes Jahr eine unabhängige Sicherheitsprüfung bestehen, um sie zu behalten.

drive ist Vollzugriff: alles lesen, ändern und löschen. Ebenfalls eingeschränkt, ebenfalls jährlich geprüft.

Der Abstand zwischen der ersten und dem Rest ist kein Gradunterschied. Die eine heißt „diese Datei, die ich gerade gewählt habe“; die anderen heißen „alles davon“. Ein Dienstprogramm, das ein Dokument umwandelt, braucht die erste, und eine Anwendung, die deine Dokumente so öffnen muss, wie ein Programm auf dem Rechner es tut — ein Backup-Tool, eine Dokumentenverwaltung — hat einen echten Grund für die anderen. Die Frage, die sich bei jeder Website lohnt, ist nicht, ob sie Drive-Zugriff verlangt, sondern welchen.

Warum die Dateiauswahl der wichtige Teil ist

Mit der schmalen Berechtigung kann die Website dir keine Liste deiner Dateien zeigen, weil sie keine bekommen kann. Die Dateiauswahl, die du siehst, ist deshalb nicht die der Website. Es ist die eigene Dateiauswahl von Google, die Code von Google ausführt und dir dein Drive zeigt.

Diese Anordnung ist das, was die Berechtigung bedeutungsvoll macht. Du stöberst innerhalb der Oberfläche von Google; die Website schaut nicht zu. Wenn du eine Datei wählst, gibt Google der Website Zugriff auf diese Datei und auf nichts anderes. Wähl nichts, und die Website erfährt nichts — nicht, dass du geschaut hast, nicht, was da war.

Das hat auch eine Folge, die sich leicht als fehlende Funktion lesen lässt. Eine Website, die nur diese Berechtigung hält, kann kein Menü „in Ordner speichern“ aus deinem Drive füllen, denn Ordner aufzulisten ist genau das, wofür die breiten Berechtigungen da sind. Jede Website, die dir doch deinen Ordnerbaum zeigt, hat erheblich mehr verlangt als das. Auf iBuildPDF werden Zielordner über die Ordnerauswahl von Google gewählt, und die, die du gewählt hast, werden in deinem eigenen Browser gemerkt, das Menü füllt sich also mit der Nutzung. Diese Liste sind Ordner, die du gewählt hast, keine Bestandsaufnahme deines Drive.

Derselbe Mechanismus ist der Grund, warum ein Drive-Button auf einer Website nichts tun kann, bevor du ihn drückst. Bis dahin gibt es keine Berechtigung, kein Token und nichts von Google, das auf der Seite läuft.

Was diese Website verlangt hat

iBuildPDF verwendet drive.file, und nur das. In der Praxis:

• Es ist nicht Teil der Anmeldung. Mit Google weiterzumachen, um ein Konto zu erstellen, gewährt es nicht. Es wird verlangt, wenn du das erste Mal auf einer Tool-Seite einen Drive-Button drückst, und sonst nie.
• Es ist optional. Jedes Tool auf der Website funktioniert mit Dateien von deinem Gerät, ohne Konto und ohne jede Drive-Berechtigung.
• Das Zugriffstoken bleibt im Browser-Tab. Es wird vom Skript von Google im Tab erzeugt, dort in einer Variablen gehalten und verworfen, wenn du den Tab schließt. Es wird nicht an den Server dieser Website gesendet, nicht in ein Cookie geschrieben und nicht in den Browser-Speicher geschrieben. Der Server bekommt auch die Datei-ID und den Ordnernamen nicht.
• Wir können dein Drive nicht auflisten, und das ist eine Eigenschaft der Berechtigung und kein Versprechen über unser Verhalten — was die Art von Zusicherung ist, die etwas wert ist, weil sie nicht von uns abhängt.

Was dir das nicht sagt, ist irgendetwas über andere Websites. Der Berechtigungsbildschirm ist das, was man lesen sollte, jedes Mal: Er benennt, was verlangt wird, in den Worten von Google, nicht in denen der Website. Sind kostenlose Online-PDF-Tools sicher? behandelt die weitere Frage, was zu prüfen ist, bevor man einem von ihnen ein Dokument übergibt.

Wohin die Datei tatsächlich geht

Aus Drive zu öffnen ändert, woher eine Datei kommt. Es ändert nicht, was das Tool dann mit ihr tut, und das sind zwei verschiedene Fragen.

Bei einem Tool, das in deinem Browser läuft — Zusammenfügen, Teilen, Komprimieren, Drehen, Neuanordnen, Seitenzahlen hinzufügen, Bilder umwandeln — gehen die Bytes von Google in deinen Browser-Tab, die Arbeit passiert dort, und das Ergebnis geht aus demselben Tab zurück in Drive. Der Server dieser Website liegt an keiner Stelle auf diesem Weg. Wie PDF-Tools im Browser arbeiten erklärt, wie das möglich ist.

Bei einem Tool, das auf einem Server läuft — OCR, die Office-Umwandlungen, ein Passwort hinzufügen oder entfernen — sendet der Browser die Datei an den Verarbeitungsserver, genau so, wie er es täte, wenn du diese Datei von deiner Festplatte gewählt hättest. Drive hat geändert, woher die Datei kam, und nichts weiter. Jedes dieser Tools sagt auf seiner eigenen Seite, was mit der Datei passiert und wie lange sie behalten wird, und dieser Hinweis ändert sich nicht, wenn die Datei aus Drive kommt.

Praktisch gelesen: Hätte ein Tool deine Datei vorher nicht an einen Server gesendet, fängt es damit nicht an, weil du sie aus Drive öffnest; und hätte es das getan, hält Drive es nicht davon ab. Beurteile das Tool, nicht den Button.

Zugriff prüfen und zurückziehen

Alles, was du gewährt hast, ist an einer Stelle aufgelistet, und ein Blick darauf lohnt sich von Zeit zu Zeit, unabhängig von dieser Website.

• Die Liste ansehen. Öffne in deinem Google-Konto unter Sicherheit den Bereich für den Zugriff von Drittanbietern. Jede App, der du irgendetwas gewährt hast, steht dort, mit dem, was ihr gewährt wurde.
• Lies, was bei jeder steht. „Alle deine Google Drive-Dateien sehen und herunterladen“ und „Nur die bestimmten Google Drive-Dateien sehen, bearbeiten, erstellen und löschen, die du mit dieser App verwendest“ sind die beiden Formulierungen, die man unterscheiden muss. Die zweite ist die schmale Berechtigung.
• Entferne, was du nicht mehr nutzt. Den Zugriff zu entfernen wirkt sofort und berührt deine Dateien nicht. Eine Website, die die schmale Berechtigung hielt, kann die Dateien, die du ihr gegeben hast, dann einfach nicht mehr öffnen.
• Den Zugriff hier zu entfernen kostet dich nichts. Zieh die Drive-Berechtigung zurück, und die Drive-Buttons funktionieren nicht mehr; jedes Tool funktioniert weiterhin mit Dateien von deinem Gerät. Nichts, was du umgewandelt oder gespeichert hast, ist davon betroffen.

Zwei Gewohnheiten sind mehr wert als all das. Prüf den Berechtigungsbildschirm, bevor du auf Weiter drückst, und nicht danach — es ist der einzige Moment, in dem dir die genaue Anfrage vorgelegt wird. Und sei vorsichtiger beim Umfang als bei der Marke: Eine bekannte Website, die dein gesamtes Drive verlangt, verlangt mehr als eine unbekannte, die eine einzelne Datei verlangt.