Cómo proteger un PDF con contraseña: apertura, permisos y AES

El formato PDF define dos contraseñas, y casi toda la confusión viene de tratarlas como una sola. La contraseña de apertura, que la especificación llama contraseña de usuario, es la que importa para la privacidad. Cuando está definida, cada página, imagen, campo de formulario y adjunto queda cifrado, y los bytes del archivo son ruido hasta que alguien la escribe. Si un destinatario reenvía el archivo a la persona equivocada o roban una laptop, no queda nada expuesto mientras la contraseña siga siendo secreta.

La contraseña de permisos, llamada contraseña de propietario, funciona de otra manera. Permite al autor desactivar la impresión, la copia de texto, el llenado de formularios, los comentarios o la edición de páginas. El documento se sigue abriendo sin pedir nada, así que el lector ve cada palabra. Las restricciones son indicadores guardados en el archivo, y respetarlas depende del visor. Acrobat, Chrome, Edge, Firefox y Vista Previa lo hacen y atenúan los elementos de menú correspondientes. Un visor o una biblioteca que decida ignorar esos indicadores puede imprimir y copiar igualmente, porque el contenido nunca se le ocultó.

En la práctica, eso da tres combinaciones. Use solo una contraseña de apertura para todo lo privado: recibos de sueldo, declaraciones de impuestos, informes médicos, contratos en negociación. Use solo una contraseña de permisos para documentos que deben ser públicos pero conviene que sean difíciles de modificar, como una lista de precios firmada. Use ambas cuando solo determinadas personas puedan leer el archivo y no deban poder editarlo, y haga que las dos contraseñas sean distintas; de lo contrario, cualquiera que pueda abrir el archivo también podrá levantar las restricciones.

El cifrado de PDF se ha revisado varias veces desde la primera versión de 1994, y los métodos antiguos siguen siendo legibles por compatibilidad. La clave RC4 de 40 bits de PDF 1.1 se puede descifrar por fuerza bruta en una computadora común, y el RC4 de 128 bits de PDF 1.4 usa un algoritmo que ya no se considera seguro. AES-128 llegó con PDF 1.6 y Acrobat 7. AES-256 llegó con Acrobat 9, y Acrobat X sustituyó el primer esquema de 256 bits de Adobe por una verificación de contraseña más robusta, que es la versión que conserva ISO 32000-2, la norma PDF 2.0, al tiempo que declara obsoleto RC4.

Para casi todo el mundo la elección es sencilla: AES-256. Todos los lectores actuales en Windows, macOS, iOS, Android y en los navegadores principales lo abren. Baje a AES-128 solo cuando un destinatario concreto use software demasiado antiguo para archivos de 256 bits, como un sistema de gestión documental que no se actualiza desde hace quince años. En Acrobat, el menú Compatibilidad toma esta decisión por usted: Acrobat X y posteriores significa AES-256, Acrobat 7 y posteriores significa AES-128, y cualquier versión anterior significa RC4.

Es posible que ya tenga software capaz de cifrar un PDF. Las versiones de pago Acrobat Standard y Pro ofrecen los controles más completos, incluidas contraseñas de apertura y de permisos separadas y el menú de compatibilidad descrito arriba. Vista Previa de macOS puede añadir ambas contraseñas en su cuadro de exportación; en las versiones recientes de macOS la opción está detrás de un botón Permisos, y en las antiguas es una sola casilla Encriptar. Word para Windows puede cifrar un PDF al crearlo, pero solo con una contraseña de apertura de 6 a 32 caracteres y sin ajustes de permisos.

Dos herramientas comunes no tienen ninguna función de contraseña. Microsoft Print to PDF, la impresora virtual integrada en Windows 10 y 11, genera un archivo sin protección ni opciones de seguridad, y lo mismo ocurre con el destino Guardar como PDF del cuadro de impresión de Chrome. Si su PDF salió de alguno de los dos, cífrelo en un segundo paso. Use lo que use, abra el resultado una vez y compruebe que pide la contraseña; en Acrobat Reader, Archivo > Propiedades > Seguridad muestra el método y los permisos.

En una Chromebook, una laptop del trabajo sin Acrobat o un teléfono, una herramienta en el navegador hace el mismo trabajo. Para poner contraseña al PDF, suba un archivo de hasta 95 MB; UltKit lo cifra con AES-256 de forma predeterminada y elimina tanto el archivo subido como el resultado 30 minutos después del procesamiento. No hay nada que instalar ni cuenta que crear, lo que importa en una computadora de oficina con restricciones.

Haga antes cualquier otra edición. Un PDF cifrado no se puede volver a comprimir ni unir sin la contraseña, así que si el archivo supera el límite de un correo, comprima el PDF antes de protegerlo. Si contiene respuestas de formulario que no deben cambiar, aplánelo primero también. El cifrado solo añade un pequeño diccionario de seguridad, así que la copia protegida pesa más o menos lo mismo que el original.

El error más común es enviar la contraseña en el mismo correo que el adjunto, o en un segundo correo un minuto después. Cualquiera que pueda leer ese buzón, incluido quien reenvíe la conversación, tiene entonces las dos mitades. Use otro canal: envíe el archivo por correo y la contraseña por mensaje de texto, dígala en una llamada o acuérdela en persona. Para un intercambio periódico, como los estados de cuenta mensuales a un mismo cliente, acuerden una regla de contraseña una sola vez y no la escriba nunca en el mensaje.

Elija una contraseña que el destinatario pueda escribir sin errores. Una frase de cuatro o cinco palabras sin relación entre sí es más fácil de dictar por teléfono que una cadena de símbolos, y más difícil de adivinar que un nombre o una fecha de nacimiento. Evite datos que los colegas del destinatario puedan averiguar, y no reutilice la contraseña de su correo o de su banco, porque está a punto de compartirla con otra persona.

Con documentos regulados hay más en juego. Los expedientes de recursos humanos, los historiales médicos y los documentos legales suelen estar sujetos a normas como HIPAA en Estados Unidos, que incluye el cifrado como medida de protección de los datos de salud, o el artículo 32 del RGPD, que cita el cifrado como ejemplo de seguridad adecuada. Una contraseña de apertura AES-256 en un adjunto de correo es una parte sensata de eso, pero no todo: su organización puede exigir un portal seguro, un registro de quién recibió qué o un calendario de conservación. Consulte su política antes de decidir siquiera usar el correo.

El cifrado protege el archivo almacenado y en tránsito. Una vez que la persona correcta lo abre, el contenido está en su pantalla, y nada en el formato PDF puede impedir una captura de pantalla, una foto del monitor con el teléfono o el reconocimiento de texto aplicado a cualquiera de las dos. Las restricciones de impresión no resisten a un visor que las ignore, y si la impresión está permitida, imprimir en una impresora PDF virtual puede generar una copia sin protección. Las restricciones son una cortesía para los lectores honestos, no una defensa.

Algunos datos también se ven sin la contraseña. El nombre del archivo nunca se cifra, así que Gomez_resultados_VIH.pdf revela lo que el contenido cifrado oculta; ponga nombres neutros a los archivos sensibles. Con Cifrar metadatos desactivado, cualquiera puede leer el título, el autor y las palabras clave. El asunto del correo, el remitente y el destinatario, el peso del adjunto y la fecha son visibles para cada servidor de correo del camino, y un archivo ZIP con cifrado AES solo oculta los nombres de archivo cuando su formato permite cifrarlos.

Cuando se conoce la contraseña, quitarla es un trámite. Un estado de cuenta que se abre cada semana, o un documento que usted mismo cifró y ahora necesita editar, se puede desbloquear con la contraseña que conoce: escríbala en Contraseña actual, pulse Desbloquear y guarde la copia sin protección en un lugar privado. Para cambiar una contraseña, desbloquee el archivo y vuelva a protegerlo con la nueva. Quitar solo las restricciones elimina los límites de impresión y copia y mantiene la contraseña de apertura.

Una contraseña de apertura olvidada es otro asunto, y la respuesta honesta es breve. Un PDF cifrado con AES-256 y una contraseña robusta no lo puede recuperar nadie, ni siquiera Adobe, porque no existe una llave maestra ni una puerta trasera. Los programas de recuperación de contraseñas solo funcionan adivinando, lo que da resultado con contraseñas débiles y archivos RC4 antiguos y fracasa con una frase larga. Pida al remitente la contraseña o una copia nueva, busque la regla de contraseña en el correo con el que llegó el archivo y guarde sus propios originales sin cifrar en un lugar seguro.

Repase esta lista una vez por documento. Lleva un minuto y cubre los errores que con más frecuencia arruinan una configuración por lo demás sólida, desde un nombre de archivo revelador hasta una contraseña que llega al mismo buzón que el adjunto.