Cara menyensor PDF dengan benar dan mengapa kotak hitam tidak cukup

Kegagalan penyensoran adalah salah satu kesalahan dokumen yang paling andal berulang. Berkas perkara, laporan pemerintah, dokumen yang diserahkan ke regulator, dan kontrak korporasi pernah dipublikasikan dengan materi sensitif yang bisa dipulihkan siapa pun hanya dengan menyeleksi area yang dihitamkan lalu menekan Ctrl+C. Organisasi yang terlibat bukan amatir yang ceroboh — mereka kantor hukum dan kementerian dengan tenaga profesional dokumen di dalamnya.

Kesalahannya selalu sama, dan berasal dari kesalahpahaman yang wajar tentang apa itu PDF. Panduan ini menjelaskan apa yang sebenarnya terjadi, dan cara menyensor dokumen agar informasinya benar-benar dihapus, bukan sekadar ditutupi.

Mengapa kotak hitam bukan penyensoran

Halaman PDF bukanlah gambar sebuah halaman. Ia adalah kumpulan instruksi berlapis: gambar teks ini, dengan huruf ini, pada koordinat ini; gambar citra ini di sini; isi kotak ini dengan warna hitam. Pembaca PDF menjalankan instruksi tersebut berurutan lalu menampilkan hasilnya kepada Anda.

Ketika Anda memakai alat anotasi atau gambar untuk menaruh kotak hitam di atas sebuah nama, Anda tidak menghapus instruksi yang menggambar nama itu. Anda menambahkan instruksi baru, yang dijalankan sesudahnya, untuk mengisi sebuah kotak dengan warna hitam. Keduanya tetap ada di dalam berkas. Pembaca menggambar nama itu lalu menimpanya: secara visual nama tersebut tersembunyi, secara struktural ia persis di tempatnya semula.

Teksnya dapat dipulihkan oleh siapa pun yang menginginkannya, tanpa alat khusus sama sekali: salin-tempel, pengekstrak teks otomatis, atau sekadar menghapus lapisan anotasi — yang dilakukan banyak editor PDF dengan satu klik, karena anotasi memang dirancang untuk dapat dihapus.

Empat cara penyensoran gagal

Kotak hitam kosmetik adalah kegagalan paling umum, tetapi bukan satu-satunya. Empat hal berikut menjelaskan hampir seluruh kebocoran penyensoran di dunia nyata:

Yang terakhir layak diperhatikan khusus karena tidak kasatmata. PDF mendukung penyimpanan inkremental: ketika sebuah berkas disunting, perubahannya bisa ditambahkan di bagian akhir alih-alih menulis ulang seluruh berkas. Artinya, sebuah dokumen bisa memuat versi-versinya sendiri yang terdahulu. Jika Anda menyensor sebuah nama dan editornya menyimpan secara inkremental, versi sebelum penyensoran bisa tetap berada di dalam berkas — lengkap dan terbaca — di bawah versi yang Anda lihat.

Apa yang dilakukan penyensoran sungguhan

Penyensoran yang sesungguhnya menghapus isi alih-alih mengaburkannya. Implementasi yang benar menjalankan beberapa operasi terpisah:

1. Menghapus objek isi yang berada di bawahnya. Karakter teks, data gambar, atau jalur vektor pada area yang disensor dikeluarkan dari aliran isi halaman — bukan ditutupi, melainkan dikeluarkan.
2. Menggambar penanda buram di tempatnya. Biasanya kotak hitam, agar pembaca tahu ada materi yang ditahan. Bagian ini semua orang berhasil melakukannya; tanpa langkah di atas, ia tidak berarti apa-apa.
3. Menulis ulang berkas sepenuhnya. Keluarannya ditulis sebagai PDF baru alih-alih ditambahkan ke aslinya, sehingga riwayat penyimpanan inkremental dan setiap versi terdahulu yang dapat dipulihkan ikut lenyap.
4. Membersihkan metadata terkait. Properti dokumen, komentar tertanam, nilai bidang formulir, dan lampiran dikosongkan, karena data sensitif bersembunyi di semuanya.

Menyensor PDF dalam empat langkah

Menyensor dengan PdfDocShift menghapus isi yang ada di bawahnya alih-alih menutupinya, dan menghasilkan berkas keluaran yang bersih. Tanpa pemasangan dan tanpa pendaftaran, serta berkas yang diunggah dihapus permanen dari server kami setelah dua jam.

Yang selalu terlupakan: metadata

Anda bisa menyensor setiap halaman dengan sempurna dan tetap membocorkan persis hal yang ingin Anda lindungi, sebab sebuah PDF membawa cukup banyak informasi yang tidak pernah muncul di halaman mana pun.

• Bidang penulis dan pembuat. Biasanya berisi nama pemilik lisensi perangkat lunak yang menghasilkan berkas itu — kerap kali seorang individu bernama jelas di kantor yang bernama jelas pula.
• Nama berkas asli. Sering dipertahankan di properti dokumen. Santoso_pemutusan_draf_v3.pdf sudah mengatakan banyak hal kepada pembaca sebelum ia membuka satu halaman pun.
• Stempel waktu pembuatan dan pengubahan. Menetapkan kapan sebuah dokumen ada, hal yang bisa sangat berbobot dalam sengketa dan permintaan pengungkapan.
• Komentar dan anotasi. Catatan peninjauan dan perubahan terlacak ikut bepergian bersama berkas dan bukan bagian dari halaman yang terlihat.
• Nilai bidang formulir. Formulir yang telah diisi bisa menyimpan nilai yang dimasukkan meski tampilan visualnya sudah disensor.
• Lampiran tertanam. Sebuah PDF dapat membawa berkas utuh di dalamnya — lembar kerja, PDF lain — tanpa petunjuk kasatmata di halaman mana pun.

Sebelum merilis dokumen yang disensor, ratakan dengan Ratakan PDF untuk mengubah bidang formulir dan anotasi menjadi isi halaman statis, lalu periksa properti dokumen di pembaca mana pun. Jika berkas itu ditujukan kepada pihak lawan — kuasa hukum lawan, regulator, jurnalis — anggap saja setiap bidang akan diperiksa, karena memang akan diperiksa.

Menyensor dokumen hasil pindai

Dokumen hasil pindai menghadirkan persoalan sebaliknya, dan yang berlawanan dengan intuisi adalah bahwa dokumen semacam itu lebih aman secara bawaan. Pindaian murni adalah gambar: tidak ada lapisan teks, sehingga kotak hitam yang digambar di atasnya, setelah diratakan ke dalam gambar, benar-benar menghapus pikselnya.

Bahaya muncul ketika pindaian tersebut telah melewati OCR. Menjalankan OCR menambahkan lapisan teks tak terlihat di bawah gambar agar dokumen dapat dicari — dan lapisan itu tidak terpengaruh sama sekali oleh apa pun yang Anda gambar di atasnya. Kontrak hasil pindai yang sudah di-OCR lalu disensor dengan alat gambar bocor persis seperti PDF asli, dengan risiko tambahan bahwa berkas itu tampak seperti berkas gambar yang aman.

Cara memastikan penyensoran benar-benar berhasil

Jangan pernah merilis dokumen yang disensor tanpa memeriksanya. Verifikasi memakan waktu sekitar satu menit dan menangkap semua kegagalan yang lazim:

1. Seleksi dan salin. Buka berkas yang disensor, seleksi seluruh teks di tiap halaman yang disensor (Ctrl+A atau Cmd+A), salin, lalu tempel ke editor teks polos. Cari istilah yang Anda hapus di dalam teks yang ditempel. Seharusnya tidak ada yang muncul.
2. Cari di dalam dokumen. Gunakan fungsi pencarian pembaca untuk mencari nama atau angka yang disensor. Penyensoran kosmetik tetap akan memberikan kecocokan — di balik kotak hitam itu.
3. Periksa propertinya. Buka properti dokumen dan baca bidang penulis, judul, subjek, dan kata kunci. Pastikan tidak ada nama berkas asli maupun nama orang yang tersisa.
4. Bandingkan ukuran berkas. Berkas yang disensor dengan benar biasanya sedikit lebih kecil daripada aslinya, karena ada isi yang dihapus. Berkas tersensor yang justru terasa lebih besar mengisyaratkan bahwa materi ditambahkan di atasnya alih-alih dihilangkan — petunjuk kuat bahwa penyensorannya kosmetik.
5. Minta orang lain memeriksanya. Untuk apa pun yang benar-benar berkonsekuensi, orang yang melakukan penyensoran adalah pemeriksa terburuk: ia tahu di mana tandanya berada dan akan melihat persis ke sana.

Jika dokumen diserahkan kepada kelompok terbatas alih-alih dipublikasikan, pertimbangkan menambahkan kata sandi dengan Lindungi PDF sebagai lapisan kedua. Ini bukan pengganti penyensoran yang benar — enkripsi melindungi berkas saat pengiriman, bukan isinya setelah dibuka — tetapi membatasi penyebaran ulang yang serampangan atas dokumen yang hanya ditujukan bagi segelintir orang.

Pertanyaan yang sering diajukan