Proteger un PDF con contraseña

Qué le hace el cifrado al archivo

En un PDF, el cifrado se aplica a cada cadena y a cada flujo por separado, lo que significa que primero hay que poder llegar a cada uno de ellos individualmente. Por eso el documento se escribe con sus flujos de objetos y su flujo de referencias cruzadas expandidos de nuevo en objetos numerados simples y un índice clásico, y solo entonces se cifra pieza por pieza. Esa es la razón por la que un archivo protegido suele salir un poco más pesado que el original: la estructura ya no está empaquetada en flujos comprimidos, las cadenas se convierten en texto cifrado hexadecimal y cada pieza cifrada lleva un vector de inicialización de 16 bytes.

Lo que hay dentro se conserva tal como estaba: las páginas, el esquema de marcadores, los campos de formulario y sus valores, los adjuntos y las etiquetas se envuelven en lugar de reescribirse. Hay una cosa que no se conserva: el diccionario de información del documento. El título, el autor, el asunto y la fecha de creación no pasan al archivo reconstruido, así que un lector muestra el documento bloqueado con esos campos vacíos. El flujo de metadatos XMP, que muchos programas leen en su lugar, se conserva y se cifra junto con el contenido.

El cifrado que se aplica aquí es el más reciente que define el formato, y eso tiene un costo del otro lado. Los lectores anteriores a 2011, aproximadamente (Acrobat 9 y versiones anteriores, algunos lectores de libros electrónicos, los visores integrados en escáneres e impresoras multifunción), no pueden abrir un archivo AES-256 en absoluto, y lo señalan como dañado o no compatible en lugar de pedir una contraseña.

Si buscas otra cosa

Una contraseña de PDF controla quién puede abrir el archivo y nada más después de eso. Quien lo abra puede guardar una copia sin protección en segundos, así que esto protege un documento en tránsito y en una unidad compartida, no frente a las personas a las que se lo envías. Si el requisito es que solo un destinatario concreto pueda leer el contenido, cifra el contenedor: un archivo comprimido 7-Zip con AES, o age o GPG con su clave, y envía la contraseña por una vía distinta a la del archivo.

Para un lote, o para un destinatario con software antiguo, qpdf hace el mismo trabajo desde un script y te permite elegir el estándar anterior: qpdf --encrypt --user-password=... --owner-password=... --bits=128 --use-aes=y -- in.pdf out.pdf aplica AES-128, que pueden abrir los lectores desde mediados de la década de 2000.