ما المعلومات الشخصية المخبّأة في ملف PDF

النسخة المختصرة

افتح أي ملف PDF أرسلته إلى أحد وانظر في خصائصه. ستجد عادةً اسماً في حقل المؤلف. وأنت لم تكتبه. بل جاء من اسم الحساب على الحاسوب الذي أنتج الملف — وهو على حاسوب العمل غالباً اسمك الكامل الرسمي أو اسم مستخدم داخلي، وعلى جهاز منزلي هو ما سمّيت به نفسك حين أعددت الجهاز.

وذلك الحقل واحد من عدة حقول. فملف PDF صيغة مستندات مهيكلة، والمواصفة (ISO 32000-1، وهي الصورة المعيارية لصيغة Adobe PDF 1.7) تخصص مواضع بعينها للمعلومات عن المستند التي ليست جزءاً مما يُرسم على الصفحة. ومعالجات النصوص والماسحات الضوئية وبرامج تشغيل الطباعة ونوافذ التصدير تملأ تلك المواضع كلها، دون أن تخبرك في الغالب.

وليس في هذا أي ثغرة؛ فهي الصيغة تعمل كما صُممت. لكنه يهمّ لأن التصميم يفترض أنك تعرف بما يجري، ومعظم من يرسلون سيرة ذاتية أو شكوى مجهولة لا يعرفون.

ما الموجود هناك فعلاً

هناك نظامان منفصلان للبيانات الوصفية في ملف PDF الحديث، وقد يحمل الملف كليهما، وبقيم مختلفة في أحيان كثيرة.

قاموس معلومات المستند

وهذه هي الآلية الأقدم، المحددة في المواصفة ISO 32000-1. وهي مجموعة صغيرة من الحقول المسمّاة الملحقة بالمستند:

ويستحق حقلان انتباهاً خاصاً. فحقل Author هو الحقل الذي يحدد هوية شخص، وهو يُملأ تلقائياً. وحقل Producer يحدد البرنامج حتى رقم الإصدار، وهو ما يخبر القارئ بما تشغّله، وبالتبعية بما تنشره مؤسستك.

وطوابع الزمن مفيدة أيضاً. فإزاحة المنطقة الزمنية تحدد موقعك الجغرافي، وتاريخ ModDate بعد موعد يُفترض أن المستند اكتمل فيه هو من التفاصيل التي يُنتبَه إليها في النزاعات.

بيانات XMP الوصفية

أما الآلية الأحدث فهي XMP — منصة البيانات الوصفية القابلة للتوسعة، المعيارية تحت الرقم ISO 16684-1. وهي كتلة XML مضمَّنة في الملف، وتحمل أكثر من الحقول الثمانية أعلاه: بيانات الحقوق وسجل التحرير وسجلات خاصة بأدوات بعينها ومعرّف مستند يبقى عبر عمليات الحفظ ويمكن أن يربط ملفات منفصلة بأصل مشترك.

ولأن XMP منفصلة عن قاموس المعلومات، فقد يتعارض الاثنان. فتحرير أحدهما لا يحدّث الآخر بالضرورة، وهكذا ينتهي ملف يعرض مؤلفاً ممسوحاً في لوحة خصائصه بينما يقبع الاسم الأصلي في كتلة XMP على بُعد بضعة آلاف بايت.

بيانات وصفية داخل الصور المضمّنة

ملف PDF الذي يحوي صوراً فوتوغرافية يضمّنها ككائنات داخل الملف. وإن كانت الصورة تحمل بيانات EXIF حين وُضعت — طراز الكاميرا وطابع زمن الالتقاط، وفي صور الهواتف كثيراً جداً إحداثيات GPS — فقد تنتقل تلك البيانات إلى ملف PDF معها. وهذه طبقة ثالثة مستقلة، لا يمسّها أي شيء يحرّر البيانات الوصفية للمستند نفسه.

كيف ترى ما يحمله ملفك

أسرع طريقة هي محرّر بيانات PDF الوصفية. أفلت ملفاً فيه فيحلّل المستند ويعرض حقول قاموس المعلومات بقيمها الحالية. ويُقرأ الملف داخل متصفحك ولا يُرفع، فيمكنك فحص مستند سري دون تسليمه إلى أحد.

وافحص الملف الذي أنت على وشك إرساله، لا الملف الذي بدأت منه: فكل خطوة تصدير تعيد كتابة حقل Producer، وبعضها يعيد كتابة أكثر من ذلك.

وأداة عدد الصفحات رفيق مفيد لنظرة بنيوية سريعة — فهي تفتح المستند وتبلّغ بعدد صفحاته، وهو ما يؤكد أيضاً أن الملف يُحلَّل بنظافة كملف PDF أصلاً. والملف الذي لا يعطي عدد صفحات ملف تالف، وإصلاحه يأتي أولاً.

وخارج المتصفح، يُخرج كل من pdfinfo (وهو جزء من Poppler) وexiftool البيانات الوصفية، كما يبلّغ exiftool ببيانات EXIF الموجودة في الصور المضمّنة. وملف PDF نص صريح جزئياً، ففتحه في محرر نصوص والبحث عن /Producer أو <x:xmpmeta يُظهر الحقول مباشرة في أحيان كثيرة.

إزالتها

استخدم أداة إزالة بيانات PDF الوصفية. فهي تقرأ المستند بواسطة pdf-lib، وتمسح حقول معلومات المستند — العنوان والمؤلف والموضوع والكلمات المفتاحية والمُنشئ والمنتِج وتاريخَي الإنشاء والتعديل — ثم تكتب ملف PDF جديداً. ولا يُعاد كتابة محتوى الصفحة نفسه، فيكون المستند الذي تستعيده مطابقاً تماماً في شكله وقراءته للمستند الذي أدخلته.

وإن كنت تفضّل استبدال القيم بدل تفريغها، فإن محرّر البيانات الوصفية يتيح لك ضبط كل حقل صراحةً. ولهذا فائدة حقيقية: فاسم مؤسسة في حقل المؤلف أقل لفتاً للنظر من حقل فارغ، والحقل الفارغ في دفعة من مستندات عادية فيما عداه يصبح بحد ذاته إشارة.

وتعمل الأداتان بالكامل داخل متصفحك. ولا يُرفع شيء، وهذا يهمّ هنا أكثر من المعتاد — فالمقصد كله أن الملف يحوي شيئاً لا تريد مشاركته، وإرساله إلى خادم غريب لإزالة ذلك مقايضة عجيبة. وراجع دليل كيف تعمل أدوات PDF داخل المتصفح لمعرفة الآلية.

وملاحظة عملية واحدة: افعل هذا كخطوة أخيرة قبل الإرسال. فكل ما يعيد كتابة الملف بعد ذلك — إعادة التصدير، أو الطباعة إلى PDF، أو الفتح والحفظ في تطبيق آخر — سيختم فيه حقل Producer جديداً وطوابع زمن جديدة.

ما الذي لا يفعله تجريد البيانات الوصفية

وهذا هو الجزء الذي يوقع الناس في المتاعب، لأن مسح لوحة الخصائص يبدو حاسماً وهو ليس كذلك.

• لا يمسّ الصفحة الظاهرة. فالاسم في ترويسة، والتذييل الذي يقول مسودة — ج. أوكونكو، والرأس الذي يحمل اسم عميل: كلها محتوى صفحة لا بيانات وصفية. وهي ما زالت موجودة، وهي أول ما يراه القارئ.
• لا يزيل بيانات EXIF داخل الصور المضمّنة. فالبيانات الوصفية للمستند والبيانات الوصفية لصورة مضمّنة بنيتان مختلفتان. ومسح الأولى يترك الثانية سليمة، بما فيها إحداثيات GPS. وإن كان ملف PDF يحوي صور هاتف وكان الموقع مهماً، فجرّد بيانات EXIF من الصور قبل أن تبني ملف PDF.
• لا يزيل نصاً مخفياً تحت شكل مرسوم. فالمستطيل الأسود الموضوع فوق فقرة لا يحذف الفقرة — إذ تبقى كائنات النص في تدفق المحتوى وتعود كما هي مع النسخ واللصق. وهذا إخفاق منفصل وأخطر بكثير، يتناوله دليل كيف تنقّح ملف PDF نهائياً، ولا تحلّه أي أداة بيانات وصفية.
• لا يطال النسخ المُرسَلة سلفاً. فإزالة البيانات الوصفية تنتج ملفاً جديداً نظيفاً. أما كل نسخة وُزِّعت قبل ذلك فما زالت تحمل كل شيء، في كل صندوق بريد ونسخة احتياطية وصلت إليها. فالتنظيف يجري قبل أن يغادر الملف لا بعده.

عامِل البيانات الوصفية بوصفها أربع طبقات منفصلة: قاموس المعلومات، وXMP، وبيانات EXIF في الصور المضمّنة، ومحتوى الصفحة الظاهر. ولكل منها فحصها الخاص. ومسح واحدة وافتراض أن البقية تبعتها هو الخطأ الجدير بالتجنّب.