Proteggi un PDF con una password prima di inviarlo

Cifrare, mettere una password e limitare la stampa sono tre cose diverse

Vengono chiamate tutte «proteggere il PDF», e chi le confonde si fida di quella sbagliata. La cifratura è la matematica che rende illeggibile il contenuto. La password è la chiave che apre quella serratura, ed è l'unica delle tre che difende davvero il documento. I permessi di stampa e copia sono contrassegni scritti nel file: una richiesta rivolta ai programmi che lo aprono, non un lucchetto.

1. 1Cifratura: il contenuto del file diventa illeggibile senza la chiave giusta.
2. 2Password di apertura: senza quella il documento non si apre, e non c'è modo di leggerlo.
3. 3Permessi: indicazioni scritte nel file, che ogni lettore decide se rispettare. Nessuno dei lettori che abbiamo provato le fa rispettare.
4. 4Se ti serve che una cosa resti segreta, deve stare dietro alla password, non dietro a un permesso.

Che cosa viene applicato al tuo file, in concreto

Non «una protezione generica»: il motore è qpdf 12.2.0 compilato in WebAssembly, e scrive una cifratura AES-256 nella revisione 6, quella che il formato PDF usa per le chiavi a 256 bit. Flussi e stringhe del documento vengono cifrati con AESv3. Il documento originale non viene modificato: quello che scarichi è una copia protetta.

1. 1Cifratura AES a 256 bit, revisione 6 del formato, su flussi e stringhe.
2. 2La password di apertura è quella che scegli tu: non viene inviata da nessuna parte e non finisce in nessuna memoria che sopravviva alla scheda. Mentre la digiti sta nel campo e nella memoria della pagina, e durante la cifratura passa nella memoria del motore: è quello che serve per usarla.
3. 3La password che comanda i permessi è generata a caso sul momento, è diversa dalla tua e non viene mostrata: senza di lei i divieti di stampa e copia varrebbero zero anche per chi ha solo la chiave di apertura.
4. 4Il file protetto viene riaperto dal motore prima di essere consegnato: se non si aprisse con la tua password, non lo scaricheresti affatto.

Scegliere una password che regga

AES-256 protegge fedelmente qualunque password, comprese quelle deboli: è il punto che le pagine di mezzo internet dimenticano di dire. Una password di quattro caratteri viene provata tutta in pochi secondi, e l'algoritmo non ci può fare niente. Per questo qui il minimo è dodici caratteri, e il consiglio è una frase, non una parola.

1. 1Una frase di più parole si ricorda meglio di una parola con i simboli in mezzo, ed è più difficile da indovinare.
2. 2Unica per questo documento: se è la stessa di altri servizi, il documento vale quanto la peggiore di quelle password.
3. 3Il formato PDF si ferma a 127 byte, e gli accenti e le emoji contano più di un byte l'uno: qui il conteggio è mostrato mentre scrivi.
4. 4Conservala in un gestore di password, non nella stessa mail dell'allegato.

La password si manda su un altro canale

Mandare file e password nello stesso messaggio è come lasciare la chiave nella toppa: chi intercetta la mail, o la riceve per errore, ha in mano tutte e due le cose. Il documento viaggia per mail o per PEC, la password si dice a voce, per telefono o con un messaggio separato. Vale anche dentro lo stesso studio: la casella di posta di un collega è un archivio che dura anni.

1. 1Documento e password su due canali diversi, sempre.
2. 2Meglio ancora se la password viene concordata prima, non spedita dopo.
3. 3Se il destinatario la perde non è recuperabile: conserva l'originale non protetto in un posto sicuro.

Chi lo usa, e con quale documento in mano

Studi legali

Un atto o una perizia da depositare o da mandare a un collega: l'allegato viaggia cifrato, la password si concorda a voce.

Commercialisti e consulenti

Bilanci, dichiarazioni e visure spediti per PEC, dove l'allegato resta archiviato per anni.

Risorse umane

Contratti, buste paga e valutazioni: documenti che non devono restare leggibili in una casella condivisa.

Amministrazione e segreteria

Fatture e comunicazioni con dati di terzi, mandate a indirizzi scritti a mano e a volte sbagliati.

Chiunque mandi un allegato personale

Un referto, un documento di identità, un contratto di affitto: una password in più costa dieci secondi.

Quello che dichiariamo, e come puoi controllarlo

Il documento non viene caricato da nessuna parte

Apri gli strumenti da sviluppatore, scheda Rete, e proteggi un file: non parte nessuna richiesta che porti fuori il PDF.

La password non viene inviata né conservata

Nella stessa scheda Rete non compare in nessuna richiesta. In Archiviazione non compare né nel localStorage né nei cookie. Nel campo c'è finché la digiti, e sparisce appena il file protetto è pronto o quando cambi documento.

La cifratura è davvero AES-256

Se hai qpdf o Poppler installati: qpdf --show-encryption riporta R = 6 e AESv3, e pdfinfo dice «algorithm:AES-256». Un avvertimento su pdfinfo: l'opzione -upw di quel comando si ferma a 32 byte, quindi con una frase più lunga risponde «Incorrect password» anche se il file è a posto. È un limite del comando, non del documento: chiamata direttamente, la libreria Poppler lo stesso file lo apre, e con qpdf --password= non succede.

Senza password non si apre

Prova ad aprire il file scaricato in un altro lettore PDF senza inserire niente: chiede la password e non mostra il contenuto.

I limiti, detti prima che li scopra tu

Sono i punti in cui una protezione con password non fa quello che molti si aspettano. Sapere quali sono è parte del lavoro.

Una password debole resta debole

La cifratura è forte, la chiave no. Se la password si indovina, non serve rompere niente: basta provarla.

Se la dimentichi, il documento resta chiuso

SecureLocalSuite non invia la password ai propri server e non la conserva in uno storage persistente, quindi non può recuperarla. Conserva l'originale non protetto: da quello puoi sempre fare una copia nuova con una password diversa.

La password vive nella pagina finché serve

Sta nel campo mentre la scrivi e passa nella memoria del motore durante la cifratura: senza, non si potrebbe usare. Non viene inviata e non finisce in una memoria che sopravviva alla scheda. Il campo si svuota dopo una consegna riuscita e al cambio documento; dopo un errore resta, così puoi riprovare senza riscriverla. Come ogni programma scritto in JavaScript, non possiamo garantire che ogni copia della stringa sparisca dalla memoria nell'istante esatto in cui la lasci.

Stampa e copia non sono divieti assoluti

Il contrassegno viene scritto nel file e riletto correttamente, ma farlo rispettare tocca al programma che apre il documento. Misurato sul file prodotto: Poppler, Ghostscript e pdf.js leggono il divieto e poi estraggono il testo lo stesso a chi ha la password. Sono richieste ai lettori, non una barriera.

Un PDF già cifrato non può essere ricifrato

Va prima aperto con la sua password. Lo strumento lo dice e si ferma, invece di consegnare un file vuoto.

I lettori molto vecchi non aprono AES-256

La revisione 6 è arrivata con le versioni recenti del formato: un programma di quindici anni fa può non riconoscerla.

La protezione non cancella i metadati

Autore, software e date restano nel documento. Per toglierli serve lo strumento Metadati, che è un'altra cosa.

Prima o dopo aver messo la password

• Oscurare i dati sensibili: se una parte del documento non deve essere letta nemmeno da chi ha la password
• Rimuovere i metadati: autore, software e date restano nel file anche dopo la cifratura
• Controllo privacy del PDF: cosa si può ancora recuperare da un documento prima di mandarlo
• Come funziona l'elaborazione locale, e come verificarla da soli