O que está escondido no seu PDF: o significado dos metadados

Você envia um orçamento para um novo cliente. O documento parece limpo e profissional. Mas se ele abrir Arquivo → Propriedades, ele pode ver o nome do último cliente para quem você enviou, o modelo que você reutiliza para todos, o fato de você tê-lo exportado às 2h14 da manhã e um caminho de arquivo contendo seu nome completo. Você não digitou nada disso. Seu software adicionou por você, e isso viajou com o arquivo.

O que são metadados na verdade

Um PDF é um contêiner. Além das páginas que você pode ver, ele carrega informações estruturadas sobre o documento. Algumas delas são realmente úteis — como um título para a barra de janelas ou uma dica de idioma para leitores de tela. A maioria é adicionada automaticamente por qualquer programa que produziu o arquivo, sem pedir permissão, e permanece lá pela vida útil do documento.

Isso não é um defeito nem é malicioso. É um efeito colateral de como as ferramentas de documentos funcionam. O problema é simplesmente que quase ninguém olha, então os dados são enviados junto com o arquivo para pessoas que nunca deveriam vê-los.

Os três lugares onde ele se esconde

Esta é a parte que a maioria das explicações pula, e é o motivo pelo qual "eu limpei o campo autor" muitas vezes não é suficiente. Os metadados do PDF vivem em pelo menos três camadas separadas, e limpar uma não apaga as outras.

1. O dicionário de informações do documento. O conjunto clássico de campos: Title, Author, Subject, Keywords, Creator, Producer, CreationDate, ModDate. É o que seu leitor de PDF mostra em Propriedades. É a camada sobre a qual as pessoas sabem falar.
2. Metadados XMP. Um pacote XML separado incorporado no arquivo, da Plataforma Extensível de Metadados (Extensible Metadata Platform) da Adobe. Ele frequentemente duplica os campos de informações do documento — o que significa que uma ferramenta que limpa um e não o outro deixa seu nome salvo no arquivo em um local que o diálogo Propriedades não mostra. O XMP também pode carregar histórico de edição, declarações de direitos e registros específicos da aplicação.
3. Metadados dentro das imagens incorporadas. Se seu PDF contém fotos ou digitalizações, cada imagem incorporada pode carregar seu próprio bloco EXIF: modelo da câmera ou telefone, carimbo de data/hora da captura e — em fotos tiradas com serviços de localização ativados — coordenadas GPS. Remover os campos próprios do PDF não faz nada ao EXIF que está dentro de um JPEG três camadas abaixo.

A versão curta: "Autor" é o ponto principal. Um PDF pode carregar os mesmos detalhes identificadores em três camadas diferentes, e a maioria das ferramentas só limpa aquele que você consegue ver.

O que realmente vaza na prática

Em documentos reais, os culpados recorrentes são tediosamente consistentes:

Seu nome, ou o de outra pessoa. O campo Author geralmente herda da conta que instalou o software — muitas vezes um nome pessoal em um documento destinado a vir de uma empresa. Quando um modelo é reutilizado, ele pode carregar os detalhes de um cliente anterior.
Seu software e sua versão. Creator registra o aplicativo de origem; Producer registra a biblioteca que realmente escreveu o PDF. Juntos, eles anunciam sua cadeia de ferramentas (toolchain), o que é insignificante por si só e genuinamente útil para alguém investigando vulnerabilidades conhecidas.
Caminhos de arquivo. Alguns exportadores escrevem o caminho da fonte no arquivo. /Users/firstname.lastname/Clients/Acme/Drafts/ revela seu nome real, sua estrutura de pastas e às vezes sua lista de clientes, tudo em um único campo.
Carimbos de data/hora. CreationDate e ModDate registram quando o documento foi criado e a última vez que foi alterado. É estranho quando um documento supostamente foi finalizado na semana passada, ou quando mostra que você redigiu uma carta de demissão no horário da empresa.
Versões anteriores do documento. O formato PDF suporta atualizações incrementais: as alterações podem ser anexadas a um arquivo enquanto o conteúdo anterior permanece nos bytes acima. Um documento editado e salvo novamente ainda pode conter o que dizia antes.

Esse último merece ênfase, porque é o mecanismo por trás de uma categoria inteira de constrangimentos públicos — documentos publicados com edições que nunca foram realmente removidas, apenas substituídas.

Como ver o que está no seu próprio arquivo

Não adivinhe. Olhe. Você pode inspecionar os metadados de um PDF sem enviá-lo para lugar nenhum:

Abra a ferramenta de Auditoria de Metadados. Vá para Auditoria de Metadados. Ela roda no seu navegador — o documento é lido no seu dispositivo em vez de ser enviado para análise.
Escolha o PDF que você está prestes a enviar. Idealmente, o arquivo exato, não um rascunho anterior — os campos sobre os quais você se preocupa são escritos no momento da exportação.
Leia o relatório. Procure por qualquer coisa que você não diria em voz alta ao destinatário: um nome pessoal, um caminho, um cliente anterior, um carimbo de data/hora que contradiz sua história.
Decida o que é importante. Um título é inofensivo. Seu diretório pessoal não é.

Abrir a ferramenta de Auditoria de Metadados

Como remover

Depois de saber o que está lá, remover é rápido:

Abra a ferramenta Remover Metadados. Vá para Remover Metadados.
Carregue o PDF finalizado. Faça isso por último,após cada outra edição. Qualquer ferramenta que reescrever o arquivo depois irá carimbar metadados novos nele.
Exporte a cópia limpa. Você receberá um novo arquivo com os campos identificadores apagados.
Verificar. Execute o arquivo limpo novamente através do Auditoria de Metadados. Confie no relatório, não na intenção.

Abrir a ferramenta Remover Metadados

O que remover metadados não faz fazer

É aqui que as pessoas têm uma falsa sensação de segurança, então vale a pena ser direto sobre os limites.

Não censura nada que você possa ver. A remoção de metadados toca nos dados sobre o documento, não no documento. O texto sensível na página 3 ainda está na página 3.
Não corrige uma caixa preta desenhada sobre o texto. Um retângulo desenhado sobre as palavras é um gráfico posicionado acima delas; o texto por baixo ainda é selecionável, ainda é copiável, ainda está lá. Remover metadados não muda nada nisso. A censura real tem que remover o conteúdo em si, não apenas cobri-lo.
Não anonimiza a escrita. Seu cabeçalho, sua redação e o nome do cliente no primeiro parágrafo ainda são seus.
Não é permanente daqui para frente. A próxima ferramenta que tocar no arquivo escreverá seu próprio Producer e um novo ModDate. Limpe por último, depois envie.

Quando isso realmente importa

Nem todo documento precisa ser sanitizado, e fingir o contrário é apenas ruído. Para um menu ou uma newsletter, os metadados são irrelevantes. Começa a importar quando um documento cruza uma fronteira entre pessoas que não compartilham todas as mesmas informações:

Qualquer coisa enviada para o mundo de um concorrente — propostas, licitações, orçamentos. Modelos reutilizados vazam dados de destinatários anteriores.
Qualquer coisa publicada. Uma vez que um arquivo está em um site, ele pode ser baixado e inspecionado por qualquer pessoa, para sempre, no seu tempo.
Qualquer coisa envolvendo fotos ou digitalizações, devido à camada EXIF. Um documento escaneado fotografado em casa pode carregar as coordenadas do seu lar.
Qualquer coisa onde você quer ser deliberadamente anônimo — denúncias, relatórios sensíveis, uma reclamação. Aqui o campo Author pode desfazer todo o exercício.

Um hábito razoável: auditar tudo que sai da sua organização, remover tudo que é publicado e não perder o sono pelo resto.

Por que fazer isso no seu próprio dispositivo?

Há uma ironia óbvia em fazer upload de um documento confidencial para o servidor de um estranho, apenas para descobrir qual informação confidencial ele contém. Se a razão pela qual você está verificando é que o arquivo é sensível, então entregar uma cópia completa a terceiros — com qualquer retenção e registro que eles costumem praticar — já cedeu o ponto antes mesmo de você ler o relatório. Inspecionar e limpar o arquivo onde ele já reside evita esse risco completamente. Em CyvoDocOps, as operações suportadas desse tipo rodam localmente no seu navegador e o documento não é enviado para um servidor.

Perguntas frequentes

Remover metadados muda a aparência do meu PDF?

Não. As páginas visíveis permanecem intocadas. Você está limpando informações armazenadas sobre o documento, e não o conteúdo do próprio documento.

Posso remover metadados de um PDF que outra pessoa me enviou?

Sim, se você puder abrir o arquivo. A limpeza altera a sua cópia — não tem efeito sobre o original que o remetente ainda possui.

Por que o campo autor mostra um nome que eu nunca ouvi falar?

Quase sempre é um modelo reutilizado ou uma máquina compartilhada: o campo foi herdado de quem criou o documento original e nunca foi atualizado.

Metadados são o mesmo que uma assinatura digital?

Não. Metadados são informações descritivas sobre o arquivo. Uma assinatura é uma alegação criptográfica sobre sua integridade e origem. Remover metadados de um documento assinado pode invalidar a assinatura — limpe primeiro, assine por último.

Meus arquivos são enviados para serem verificados?

Não. Para estas ferramentas, o PDF é processado localmente no seu navegador e não é enviado a um servidor.