Come oscurare un PDF correttamente e perché i rettangoli neri non bastano

Il fallimento dell'oscuramento è uno degli errori documentali che si ripresentano con più regolarità. Atti giudiziari, relazioni governative, depositi presso le autorità di vigilanza e contratti aziendali sono stati pubblicati con materiale riservato che chiunque poteva recuperare selezionando l'area annerita e premendo Ctrl+C. Le organizzazioni coinvolte non erano dilettanti sbadati: erano studi legali e ministeri con professionisti della documentazione in organico.

L'errore è sempre lo stesso e nasce da un fraintendimento ragionevole su che cosa sia un PDF. Questa guida spiega che cosa accade realmente e come oscurare un documento perché l'informazione sia davvero rimossa e non semplicemente nascosta.

Perché un rettangolo nero non è oscuramento

Una pagina PDF non è l'immagine di una pagina. È un insieme di istruzioni sovrapposte: disegna questo testo, con questo carattere, a queste coordinate; disegna qui questa immagine; riempi di nero questo rettangolo. Un lettore PDF esegue quelle istruzioni nell'ordine e ti mostra il risultato.

Quando usi uno strumento di annotazione o di disegno per posare un rettangolo nero sopra un nome, non hai cancellato l'istruzione che disegna quel nome. Hai aggiunto una nuova istruzione, eseguita dopo, che riempie di nero un rettangolo. Entrambe restano nel file. Il lettore disegna il nome e poi lo copre: visivamente il nome è nascosto, strutturalmente è esattamente dov'era.

Il testo è recuperabile da chiunque lo voglia, senza alcuno strumento specializzato: copia e incolla, un estrattore di testo automatico, oppure la semplice rimozione del livello delle annotazioni, che molti editor PDF eseguono con un clic proprio perché le annotazioni sono pensate per essere rimovibili.

I quattro modi in cui l'oscuramento fallisce

I rettangoli neri cosmetici sono il caso più comune, ma non l'unico. Questi quattro spiegano sostanzialmente tutte le fughe di dati da oscuramento nel mondo reale:

L'ultimo merita particolare attenzione perché è invisibile. Il PDF supporta il salvataggio incrementale: quando un file viene modificato, le modifiche possono essere accodate alla fine anziché riscrivere l'intero file. Ciò significa che un documento può contenere le proprie versioni precedenti. Se oscuri un nome e l'editor salva in modo incrementale, la versione precedente all'oscuramento può restare nel file, completa e leggibile, sotto quella che vedi.

Che cosa fa un oscuramento vero

L'oscuramento autentico rimuove il contenuto anziché nasconderlo. Un'implementazione corretta esegue diverse operazioni distinte:

1. Elimina gli oggetti di contenuto sottostanti. I caratteri, i dati immagine o i tracciati vettoriali nell'area oscurata vengono rimossi dal flusso di contenuto della pagina — non coperti, rimossi.
2. Disegna al loro posto un segno opaco. Di norma un rettangolo nero, così che il lettore veda che del materiale è stato trattenuto. Questa è la parte che tutti eseguono correttamente; senza il passaggio precedente non significa nulla.
3. Riscrive integralmente il file. L'output viene scritto come PDF nuovo anziché accodato all'originale, il che elimina la cronologia dei salvataggi incrementali e ogni versione precedente recuperabile.
4. Ripulisce i metadati associati. Proprietà del documento, commenti incorporati, valori dei campi modulo e allegati vengono azzerati, perché in ognuno di essi si annidano dati riservati.

Oscurare un PDF in quattro passaggi

L'oscuramento con PdfDocShift rimuove il contenuto sottostante anziché coprirlo e produce un file di output pulito. Nessuna installazione e nessuna registrazione, e i file caricati vengono eliminati definitivamente dai nostri server dopo due ore.

Quello che tutti dimenticano: i metadati

Puoi oscurare ogni pagina alla perfezione e comunque far trapelare proprio ciò che volevi proteggere, perché un PDF trasporta una quantità considerevole di informazioni che non compaiono su nessuna pagina.

• Campi autore e creatore. Di solito riportano il nome dell'intestatario della licenza del software che ha prodotto il file — spesso una persona identificata per nome all'interno di uno studio identificato per nome.
• Nome del file originale. Frequentemente conservato nelle proprietà del documento. Rossi_licenziamento_bozza_v3.pdf dice moltissimo a chi legge, prima ancora di aprire una pagina.
• Marche temporali di creazione e modifica. Stabiliscono quando un documento è esistito, aspetto che può pesare enormemente in un contenzioso o in una richiesta di esibizione.
• Commenti e annotazioni. Le note di revisione e le modifiche tracciate viaggiano con il file e non fanno parte della pagina visibile.
• Valori dei campi modulo. Un modulo compilato può conservare i valori inseriti anche quando la resa visibile è stata oscurata.
• Allegati incorporati. Un PDF può trasportare interi file al proprio interno — fogli di calcolo, altri PDF — senza alcuna indicazione visibile su alcuna pagina.

Prima di diffondere un documento oscurato, appiattiscilo con Appiattisci PDF per convertire campi modulo e annotazioni in contenuto statico di pagina, e controlla le proprietà del documento in un qualsiasi lettore. Se il file è destinato a una controparte — l'avvocato avversario, un'autorità di vigilanza, un giornalista — dai per scontato che ogni campo verrà esaminato, perché lo sarà.

Oscurare documenti scansionati

I documenti scansionati pongono il problema opposto, e l'aspetto controintuitivo è che di base sono più sicuri. Una scansione pura è un'immagine: non esiste un livello di testo, quindi un rettangolo nero disegnato sopra, una volta appiattito nell'immagine, rimuove davvero i pixel.

Il pericolo arriva quando la scansione è passata per l'OCR. Eseguire l'OCR aggiunge sotto l'immagine un livello di testo invisibile che rende il documento ricercabile — e quel livello non è minimamente toccato da ciò che disegni sull'immagine sovrastante. Un contratto scansionato sottoposto a OCR e poi oscurato con uno strumento di disegno perde dati esattamente come un PDF nativo, con il rischio aggiuntivo che sembra un innocuo file di sola immagine.

Come verificare che l'oscuramento abbia funzionato

Non diffondere mai un documento oscurato senza controllarlo. La verifica richiede circa un minuto e intercetta tutti gli errori comuni:

1. Seleziona e copia. Apri il file oscurato, seleziona tutto il testo di ogni pagina oscurata (Ctrl+A o Cmd+A), copialo e incollalo in un editor di testo semplice. Cerca nel testo incollato i termini che hai rimosso. Non deve comparire nulla.
2. Cerca nel documento. Usa la funzione di ricerca del lettore per cercare un nome o una cifra oscurati. Un oscuramento cosmetico produrrà comunque una corrispondenza — dietro il rettangolo nero.
3. Controlla le proprietà. Apri le proprietà del documento e leggi i campi autore, titolo, oggetto e parole chiave. Verifica che non sopravviva alcun nome di file originale né di persona.
4. Confronta le dimensioni dei file. Un file oscurato correttamente è di norma leggermente più piccolo dell'originale, perché del contenuto è stato eliminato. Un file oscurato sensibilmente più grande suggerisce che è stato aggiunto materiale sopra anziché rimosso: un forte indizio che l'oscuramento è cosmetico.
5. Fallo controllare a qualcun altro. Per qualsiasi cosa davvero rilevante, chi ha eseguito l'oscuramento è la persona meno adatta a verificarlo: sa dove sono i segni e guarderà esattamente lì.

Se il documento viene consegnato a un gruppo ristretto anziché pubblicato, valuta di aggiungere una password con Proteggi PDF come secondo livello. Non sostituisce un oscuramento corretto — la cifratura protegge un file in transito, non il suo contenuto una volta aperto — ma limita la ridistribuzione disinvolta di un documento pensato solo per poche persone.

Domande frequenti