Cómo proteger un PDF con contraseña sin subirlo

La forma habitual de ponerle contraseña a un PDF en línea es enviar el documento y la contraseña al servidor de otra persona. Aquí el cifrado se hace en la pestaña, lo que elimina ese riesgo y te pasa otro a ti: después no hay nadie a quien preguntarle. Hacerlo bien es, sobre todo, cuestión de unos segundos de cuidado antes y después de presionar el botón.

Contraseña de usuario y contraseña de propietario

Una contraseña de usuario es la que el lector de PDF pide antes de mostrar el documento. Una contraseña de propietario solo restringe acciones como imprimir o copiar una vez abierto el documento; se supone que los lectores respetan esas restricciones, y muchos no lo hacen.

La herramienta define una sola contraseña y la escribe como ambas. En protect, dentro de src/lib/pdf/ops.ts, la contraseña de propietario toma el valor de la de usuario cuando no se indica ninguna, y la página no ofrece un segundo campo. Así que considera la contraseña como la protección, y cualquier restricción de impresión o copia, de esta herramienta o de otra, como una petición de cortesía.

Cómo proteger un PDF, paso a paso

1. Guarda la contraseña en un lugar donde la vayas a encontrar antes de empezar. No hay restablecimiento ni soporte técnico.
2. Abre Protect PDF y elige Add a PDF (añadir un PDF). Si el archivo ya tiene contraseña, primero te la pide, y la copia protegida queda solo con la nueva, así que esta es también la forma de cambiar la contraseña de un PDF.
3. Escribe la contraseña en Password to set (contraseña que se va a definir). No hay campo de confirmación, así que un error de tipeo aquí se convierte en la contraseña.
4. Presiona Protect PDF. Una nota confirma AES-256 y te recuerda que nadie puede recuperar la contraseña. Descarga la copia, que lleva -protected añadido al nombre.
5. Abre el archivo descargado en tu lector habitual y escribe la contraseña. Esa comprobación es la única protección contra un error en el paso 3, y lleva diez segundos.

Qué es el cifrado

La herramienta cifra con @cantoo/pdf-lib, cuyo valor predeterminado es AES-256: la revisión 6 del controlador de seguridad estándar de PDF, con el filtro de cifrado AESV3. Genera una clave aleatoria de 32 bytes, es decir, 32 × 8 = 256 bits, cifra el documento con ella y guarda esa clave en el archivo solo en forma envuelta, sellada con la contraseña. Los archivos creados así se abren en las versiones actuales de Acrobat, Preview, Chrome y Firefox.

RC4, el algoritmo anterior, se rechaza. La biblioteca no lo usa a menos que el código lo pida de forma explícita, y su mensaje de error da la razón: “RC4 is broken and was removed from ISO 32000-2.” La herramienta nunca lo pide. Algunos servicios en línea que requieren subir el archivo todavía producen archivos protegidos con RC4, que piden la contraseña exactamente de la misma manera, así que el aviso por sí solo no te dice nada sobre el algoritmo que hay detrás.

El cifrado cubre las cadenas y los flujos del archivo, que contienen el texto y los datos de dibujo, y deja legible su estructura de objetos. Un lector todavía puede saber cuántas páginas tiene un PDF protegido y de qué tamaño son; lo que no puede hacer sin la contraseña es convertir el contenido de las páginas en algo legible.

Métodos comparados

	Esta herramienta	qpdf en la línea de comandos	Un servicio típico que requiere subir el archivo
Dónde se usa la contraseña	Tu navegador	Tu computadora	Su servidor
Algoritmo	AES-256	AES-256, con 256 en el comando	Varía; algunos todavía RC4
Documento guardado en otro lugar	Nunca se recibe	Nunca se envía	Se guarda durante 1–2 horas
Recuperación si pierdes la contraseña	Ninguna	Ninguna	Ninguna, y rara vez se aclara

Las dos formas en que falla la protección

Se pierde la contraseña

Un PDF protegido cuya contraseña se perdió está perdido. La contraseña nunca llega a este sitio, que es justamente el sentido de hacerlo en el navegador, y eso también significa que no hay puerta trasera, ni restablecimiento, ni nadie que pueda ayudar. El paso 1 existe por esta razón.

Una edición posterior la quita sin avisar

Todas las herramientas de edición de este sitio que reciben un archivo protegido piden la contraseña, trabajan sobre una copia descifrada y devuelven un resultado sin contraseña: recortar, numerar páginas, marca de agua, unir y las demás. El código fuente del banco de trabajo lo dice con todas sus letras: descifra el documento una vez para que cada operación de edición reciba bytes sin cifrar. Eso hace que el orden sea sencillo: termina todas las ediciones y después protege el archivo final.

Algunas herramientas de otros sitios fallan de una forma peor. Un programa para unir PDF que se salta el descifrado copia las páginas protegidas mientras todavía están cifradas; en nuestra medición de la unión de PDF cifrados, las tres páginas protegidas salieron en blanco y solo sobrevivieron 49 de 373 caracteres, sin que apareciera ningún error.

Otras formas de proteger un PDF

Con qpdf, este comando escribe una copia con AES-256, donde USERPW abre el archivo y OWNERPW es la contraseña de propietario:

qpdf --encrypt USERPW OWNERPW 256 -- input.pdf locked.pdf

Esa es la vía si quieres que las dos contraseñas sean distintas. En una Mac, Archivo → Exportar en Preview guarda una copia, y sus opciones de exportación permiten añadir una contraseña.

Cómo comprobar que la contraseña no salió de tu equipo

El cifrado es local, y puedes ver cómo se queda local. Abre la pestaña Network en las herramientas para desarrolladores de tu navegador y luego añade el PDF; el código de PDF de la herramienta se descarga en ese momento. Escribe la contraseña y presiona el botón, y no aparece ninguna solicitud que lleve el documento o la contraseña. Desconectarte después de añadir el archivo y protegerlo de todos modos demuestra lo mismo.

Protege la copia final

Protect PDF cifra con AES-256 y mantiene la contraseña en tu pestaña. Si más adelante necesitas quitar la protección de un archivo cuya contraseña conoces, Unlock PDF lo hace, y cómo quitar la contraseña de un PDF que ya puedes abrir explica qué conserva esa copia.