Qué protege realmente una contraseña de PDF

Las dos contraseñas no son dos niveles de fuerza de lo mismo

La contraseña de usuario: cifrado de verdad

También llamada contraseña de apertura. Si pones una, los flujos del documento quedan cifrados; los bytes en el disco son texto cifrado. Ningún lector puede mostrar el contenido sin la contraseña, porque el contenido no está ahí para mostrarlo. Esto es protección genuina, y su fuerza es la fuerza de la contraseña y del cifrado.

La contraseña de propietario: una petición, no un cerrojo

También llamada contraseña de permisos. El archivo lo puede leer cualquiera. Dentro hay un conjunto de indicadores que dicen qué debería permitir un lector: imprimir, copiar texto, extraer para accesibilidad, modificar, anotar. Los lectores que cumplen la norma los respetan. Nada lo impone. Los indicadores son orientativos, el contenido no está cifrado frente al lector, y cualquier herramienta que decida no consultar los indicadores sencillamente no lo hace.

Esto no es un defecto que alguien debería arreglar: es lo que dice el formato. Un indicador de permiso es una nota dirigida al software que se porta bien, y debe tratarse como exactamente esa cantidad de protección.

Para qué sirven, y para qué no, los permisos

Merece la pena poner los indicadores de permiso por lo que hacen de verdad: expresan tu intención y detienen el caso accidental. A un colega que de todos modos no iba a copiar tu texto ahora también se le impide hacerlo sin darse cuenta. Una imprenta recibe una señal clara de lo que querías decir.

No valen nada frente a quien no quiera cumplirlos, y es importante decirlo con claridad: quitarlos no requiere descifrar nada, ni adivinar nada, ni ningún conocimiento especial. Son un letrero, no un cerrojo.

Así que úsalos para comunicar. No los uses para proteger nada cuya exposición importara de verdad.

La fuerza del cifrado y lo que no cubre

Los PDF modernos usan AES, lo más habitual con una clave de 256 bits, que no es el punto débil. El punto débil es la contraseña, porque la clave se deriva de ella. Una contraseña corta o común se puede atacar sin conexión a la velocidad que permita el hardware del atacante, y el archivo no ofrece resistencia: el atacante tiene el documento entero y puede probar intentos eternamente sin que nadie se entere. Los archivos antiguos con cifrado de 40 bits o RC4 deben considerarse desprotegidos.

Vale la pena enunciar explícitamente dos límites del cifrado de PDF, porque se suelen dar por resueltos:

• El cifrado no es censura. Cifrar un documento con un recuadro negro dibujado sobre un párrafo protege todo el archivo frente a quien no tenga la contraseña, y entrega el párrafo por completo a todos los que sí la tengan, porque un rectángulo dibujado no elimina el texto de debajo. Eso es otro trabajo: consulta cómo censurar un PDF de forma permanente y censurar PDF.
• El cifrado no elimina los metadatos. Los nombres de autor, el software que lo produjo, las marcas de tiempo y el historial de revisiones están dentro del archivo, protegidos solo tanto como el resto de él, y en cuanto alguien tiene la contraseña lo tiene todo. Eliminar metadatos de un PDF es la herramienta para eso, y qué contienen los metadatos de un PDF explica lo que hay ahí dentro.

Elegir la herramienta adecuada para el problema real

• Nadie sin autorización puede leer esto. Pon una contraseña de usuario con proteger PDF, hazla larga y envíala por un canal distinto al del archivo. Una contraseña enviada por correo junto al documento que protege no ha protegido nada.
• Esto no debe contener una información concreta. Eso es censura, no una contraseña. Elimina el contenido.
• Quiero que la gente lo lea pero no lo reutilice. Los indicadores de permiso expresan la intención; no detendrán a nadie. Si la reutilización importa de verdad, no distribuyas el documento.
• Tengo la contraseña y quiero dejar de escribirla. Desbloquear PDF quita la protección de un archivo que ya puedes abrir. No es una herramienta de recuperación: necesita la contraseña, y una contraseña que no tienes no se puede quitar.

Una nota práctica sobre cómo lo gestiona este sitio. Proteger y desbloquear se procesan en el servidor, porque la criptografía que interviene no es algo que se deba ejecutar en una pestaña del navegador: el archivo se envía por una conexión cifrada, se conserva solo mientras se procesa y se elimina después. La contraseña que escribes se reenvía para realizar la operación y nunca se registra, se almacena ni se muestra en ningún error.