Qué puede ver una herramienta PDF en tu Google Drive

Tres niveles, y no se parecen entre sí

Cuando un sitio quiere trabajar con tu Drive tiene que nombrar un ámbito: el permiso que está pidiendo. Google los ordena por niveles según el daño que podría hacer con uno de ellos una aplicación equivocada.

drive.file es el estrecho. El sitio puede abrir los archivos que le entregas explícitamente mediante el selector de la propia Google, y los que él mismo crea. Todo lo demás de tu Drive no está solo fuera de su alcance: es invisible. No existe ninguna petición que el sitio pueda hacer y que devuelva un archivo que tú no hayas elegido. Google lo clasifica como no sensible.

drive.readonly y drive.metadata.readonly cubren todo el Drive, para leerlo. Todos los documentos, todas las carpetas, todos los nombres. Google los clasifica como restringidos, y un sitio que use uno tiene que pasar cada año una evaluación de seguridad independiente para conservarlo.

drive es acceso completo: leer, modificar y eliminar cualquier cosa. También restringido, también evaluado cada año.

La distancia entre el primero y los demás no es una cuestión de grado. Uno es «este archivo que acabo de elegir»; los otros son «todo». Una utilidad que convierte un documento necesita el primero, y una aplicación que necesita abrir tus documentos como lo hace una aplicación de escritorio —una herramienta de copias de seguridad, un gestor documental— tiene un motivo real para los otros. La pregunta que vale la pena hacerle a cualquier sitio no es si pide acceso a Drive, sino cuál pide.

Por qué el selector de archivos es la parte importante

Con el permiso estrecho, el sitio no puede mostrarte una lista de tus archivos, porque no puede obtenerla. Así que el selector de archivos que ves no es del sitio. Es el selector de la propia Google, ejecutando código de Google, mostrándote tu Drive.

Ese montaje es lo que hace que el permiso signifique algo. Tú navegas dentro de la interfaz de Google; el sitio no está mirando. Cuando eliges un archivo, Google le da al sitio acceso a ese archivo y a nada más. Si no eliges nada, el sitio no se entera de nada: ni de que has mirado, ni de qué había.

Esto tiene además una consecuencia que es fácil leer como una función que falta. Un sitio que solo tenga este permiso no puede rellenar un menú de «guardar en la carpeta» con tu Drive, porque listar carpetas es exactamente para lo que sirven los permisos amplios. Cualquier sitio que sí te muestre tu árbol de carpetas ha pedido bastante más que esto. En iBuildPDF, las carpetas de destino se eligen mediante el selector de carpetas de Google y las que has elegido se recuerdan en tu propio navegador, así que el menú se va llenando con el uso. Esa lista son las carpetas que elegiste, no un inventario de tu Drive.

El mismo mecanismo es la razón de que un botón de Drive en un sitio no pueda hacer nada hasta que lo pulses. Hasta entonces no hay permiso, no hay token y no hay nada de Google ejecutándose en la página.

Qué ha pedido este sitio

iBuildPDF usa drive.file, y solo eso. En la práctica:

• No forma parte del inicio de sesión. Continuar con Google para crear una cuenta no lo concede. Se pide la primera vez que pulsas un botón de Drive en la página de una herramienta, y nunca en otro momento.
• Es opcional. Todas las herramientas del sitio funcionan con archivos de tu dispositivo, sin cuenta y sin ningún permiso de Drive.
• El token de acceso se queda en la pestaña del navegador. Lo crea el script de Google dentro de la pestaña, se guarda allí en una variable y se descarta al cerrar la pestaña. No se envía al servidor de este sitio, no se escribe en una cookie y no se escribe en el almacenamiento del navegador. Al servidor tampoco se le da el identificador del archivo ni el nombre de la carpeta.
• No podemos listar tu Drive, y esto es una propiedad del permiso más que una promesa sobre nuestra conducta, que es el tipo de garantía que vale la pena tener, porque no depende de nosotros.

Lo que esto no te dice es nada sobre otros sitios. La pantalla de permisos es lo que hay que leer, cada vez: nombra lo que se está pidiendo con las palabras de Google, no con las del sitio. ¿Son seguras las herramientas PDF online gratuitas? trata la cuestión más amplia de qué comprobar antes de entregarle un documento a cualquiera de ellos.

Adónde va el archivo en realidad

Abrir desde Drive cambia de dónde viene un archivo. No cambia qué hace después la herramienta con él, y son dos preguntas distintas.

En una herramienta que se ejecuta en tu navegador —unir, dividir, comprimir, rotar, reordenar, añadir números de página, convertir imágenes— los bytes van de Google a la pestaña de tu navegador, el trabajo ocurre allí, y el resultado vuelve a Drive desde esa misma pestaña. El servidor de este sitio no está en ese camino en ningún momento. Cómo funcionan las herramientas PDF en el navegador explica cómo es posible.

En una herramienta que se ejecuta en un servidor —el OCR, las conversiones de Office, poner o quitar una contraseña— el navegador envía el archivo al servidor de procesamiento, exactamente igual que si hubieras elegido ese archivo desde tu disco. Drive cambió de dónde venía el archivo y nada más. Cada una de esas herramientas dice en su propia página qué pasa con el archivo y cuánto tiempo se conserva, y esa nota no cambia cuando el archivo llega desde Drive.

La lectura práctica: si una herramienta no iba a enviar tu archivo a un servidor antes, abrirlo desde Drive no hace que empiece a hacerlo; y si iba a hacerlo, Drive no lo impide. Juzga la herramienta, no el botón.

Comprobar y retirar el acceso

Todo lo que has concedido está en un solo sitio, y vale la pena echarle un vistazo de vez en cuando, al margen de este sitio.

• Mira la lista. En tu cuenta de Google, en Seguridad, abre la sección de acceso de terceros. Ahí está cada aplicación a la que has concedido algo, con lo que se le concedió.
• Lee qué dice cada una. «Ver y descargar todos los archivos de tu Google Drive» y «Ver, editar, crear y eliminar solo los archivos concretos de Google Drive que uses con esta aplicación» son las dos redacciones que hay que distinguir. La segunda es el permiso estrecho.
• Quita lo que ya no uses. Retirar el acceso es inmediato y no toca tus archivos. Un sitio que tenía el permiso estrecho simplemente deja de poder abrir los archivos que le diste.
• Retirar el acceso aquí no te cuesta nada. Retira el permiso de Drive y los botones de Drive dejan de funcionar; todas las herramientas siguen funcionando con archivos de tu dispositivo. Nada de lo que convertiste o guardaste se ve afectado.

Dos hábitos que valen más que todo lo anterior. Comprueba la pantalla de permisos antes de pulsar Continuar y no después: es el único momento en que se te pone delante la petición exacta. Y preocúpate más del alcance que de la marca: un sitio conocido que pide todo tu Drive está pidiendo más que uno desconocido que pide un solo archivo.