Como proteger PDF com senha: abertura, permissões e AES

O formato PDF define duas senhas, e a maior parte da confusão vem de tratá-las como uma só. A senha de abertura, que a especificação chama de senha do usuário, é a que importa para a privacidade. Quando ela está definida, todas as páginas, imagens, campos de formulário e anexos são criptografados, e os bytes do arquivo viram ruído até que alguém digite a senha. Se o arquivo for encaminhado para a pessoa errada ou um notebook for roubado, nada fica exposto enquanto a senha continuar secreta.

A senha de permissões, chamada de senha do proprietário, funciona de outro jeito. Ela permite que o autor desative impressão, cópia de texto, preenchimento de formulários, comentários ou edição de páginas. O documento abre sem pedir nada, e o leitor vê cada palavra. As restrições são marcadores gravados no arquivo, e cabe ao leitor de PDF respeitá-los. Acrobat, Chrome, Edge, Firefox e Preview respeitam e deixam os itens de menu correspondentes em cinza. Um leitor ou biblioteca que ignore os marcadores consegue imprimir e copiar mesmo assim, porque o conteúdo nunca esteve escondido dele.

Na prática, são três combinações. Use só a senha de abertura para qualquer coisa privada: holerites, declarações de imposto, laudos médicos, contratos em negociação. Use só a senha de permissões para documentos que devem ser públicos, mas difíceis de alterar, como uma tabela de preços assinada. Use as duas quando só pessoas indicadas podem ler o arquivo e elas não devem poder editá-lo, e faça as duas senhas diferentes, ou quem abrir o arquivo também poderá remover as restrições.

A criptografia de PDF foi revisada várias vezes desde a primeira versão, em 1994, e os métodos antigos continuam legíveis por compatibilidade. A chave RC4 de 40 bits do PDF 1.1 pode ser quebrada por força bruta em um computador comum, e o RC4 de 128 bits do PDF 1.4 usa uma cifra que não é mais considerada segura. O AES-128 chegou com o PDF 1.6 e o Acrobat 7. O AES-256 veio com o Acrobat 9, e o Acrobat X substituiu o primeiro esquema de 256 bits da Adobe por uma verificação de senha mais forte, que é a versão mantida pela ISO 32000-2, o padrão PDF 2.0, que considera o RC4 obsoleto.

Para quase todo mundo a escolha é simples: AES-256. Todos os leitores atuais no Windows, macOS, iOS, Android e nos principais navegadores abrem esse formato. Use AES-128 só quando um destinatário específico usa um software antigo demais para arquivos de 256 bits, como um sistema de gestão de documentos sem atualização há quinze anos. No Acrobat, o menu Compatibilidade faz essa escolha por você: Acrobat X e posterior significa AES-256, Acrobat 7 e posterior significa AES-128, e qualquer versão anterior significa RC4.

Você talvez já tenha um programa capaz de criptografar PDF. O Acrobat Standard e o Pro, pagos, têm os controles mais completos, incluindo senhas de abertura e de permissões separadas e o menu de compatibilidade descrito acima. O Preview do macOS adiciona as duas senhas na janela de exportação; nas versões recentes a opção fica atrás de um botão Permissões, nas mais antigas é uma caixa Criptografar. O Word para Windows criptografa um PDF ao criá-lo, mas só com senha de abertura de 6 a 32 caracteres e sem configurar permissões.

Duas ferramentas comuns não têm nenhum recurso de senha. O Microsoft Print to PDF, a impressora virtual do Windows 10 e 11, gera um arquivo sem proteção e sem opções de segurança, e o destino Salvar como PDF do Chrome na janela de impressão é igual. Se o seu PDF veio de um deles, criptografe-o em uma segunda etapa. Seja qual for a ferramenta, abra o resultado uma vez e confira se ele pede a senha; no Acrobat Reader, Arquivo > Propriedades > Segurança mostra o método e as permissões.

Em um Chromebook, em um notebook de trabalho sem Acrobat ou em um celular, uma ferramenta no navegador faz o mesmo serviço. Coloque senha no PDF enviando um arquivo de até 95 MB; o UltKit criptografa com AES-256 por padrão e apaga o arquivo enviado e o resultado 30 minutos após o processamento. Não há nada para instalar nem conta para criar, o que ajuda em um computador de escritório bloqueado.

Faça antes qualquer outra edição. Um PDF criptografado não pode ser recomprimido nem juntado a outros sem a senha, então, se o arquivo for grande demais para o limite de um e-mail, comprima o PDF antes de proteger. Se ele tiver respostas de formulário preenchidas que não devem mudar, achate-o antes também. A criptografia adiciona só um pequeno dicionário de segurança, então a cópia protegida tem praticamente o mesmo tamanho do original.

O erro mais comum é mandar a senha no mesmo e-mail do anexo, ou em um segundo e-mail um minuto depois. Quem puder ler essa caixa de entrada, inclusive alguém que receba a conversa encaminhada, fica com as duas metades. Use outro canal: envie o arquivo por e-mail e a senha por mensagem de texto, diga-a em uma ligação ou combine pessoalmente. Em trocas recorrentes, como extratos mensais para o mesmo cliente, combine uma regra de senha uma vez e nunca a escreva na mensagem.

Escolha uma senha que o destinatário consiga digitar sem erros. Uma frase-senha de quatro ou cinco palavras sem relação é mais fácil de ditar por telefone do que uma sequência de símbolos e mais difícil de adivinhar do que um nome ou uma data de nascimento. Evite informações que os colegas do destinatário possam descobrir e não reutilize a senha do seu e-mail ou do banco, porque você vai compartilhá-la com outra pessoa.

Documentos regulados aumentam a responsabilidade. Arquivos de RH, prontuários e papéis jurídicos costumam estar sujeitos a normas como a HIPAA nos Estados Unidos, que cita a criptografia como salvaguarda para dados de saúde, ou o artigo 32 do GDPR, que cita a criptografia como exemplo de segurança adequada. Uma senha de abertura AES-256 em um anexo de e-mail é uma parte sensata disso, mas não é tudo: sua organização pode exigir um portal seguro, registro de quem recebeu o quê ou um prazo de retenção. Consulte sua política antes de escolher o e-mail.

A criptografia protege o arquivo armazenado e em trânsito. Quando a pessoa certa o abre, o conteúdo está na tela dela, e nada no formato PDF impede uma captura de tela, uma foto do monitor com o celular ou um reconhecimento de texto (OCR) feito sobre elas. As restrições de impressão não valem em um leitor que as ignore, e, se a impressão é permitida, imprimir em uma impressora virtual de PDF pode gerar uma cópia sem proteção. Trate as restrições como uma gentileza para leitores honestos, não como uma defesa.

Alguns detalhes também ficam visíveis sem a senha. O nome do arquivo nunca é criptografado, então Silva_HIV_resultado.pdf revela o que um conteúdo criptografado esconde; dê nomes neutros a arquivos sensíveis. Com Criptografar metadados desativado, título, autor e palavras-chave podem ser lidos por qualquer pessoa. O assunto do e-mail, remetente e destinatário, o tamanho do anexo e a data ficam visíveis para todos os servidores de e-mail no caminho, e um arquivo ZIP com criptografia AES só esconde os nomes dos arquivos quando o formato permite criptografá-los.

Quando você sabe a senha, removê-la é rotina. Um extrato bancário que você abre toda semana, ou um documento que você mesmo criptografou e agora precisa editar, pode ser desbloqueado com a senha que você conhece: digite-a em Senha atual, clique em Desbloquear e guarde a cópia sem proteção em um lugar privado. Para trocar a senha, desbloqueie o arquivo e proteja-o de novo com a nova. Remover só as restrições tira os limites de impressão e cópia e mantém a senha de abertura.

Uma senha de abertura esquecida é outra história, e a resposta honesta é curta. Um PDF criptografado com AES-256 e uma senha forte não pode ser recuperado por ninguém, nem pela Adobe, porque não existe chave-mestra nem porta dos fundos. Programas de recuperação de senha só funcionam por tentativa, o que dá certo contra senhas fracas e arquivos RC4 antigos e falha contra uma frase-senha longa. Peça a senha ou uma nova cópia a quem enviou, procure a regra de senha no e-mail que trouxe o arquivo e mantenha seus originais sem criptografia em um lugar seguro.

Passe por esta lista uma vez para cada documento. Leva um minuto e cobre os erros que mais costumam desfazer uma configuração que seria forte, de um nome de arquivo revelador a uma senha na mesma caixa de entrada do anexo.