Como redigir informações sensíveis de um PDF corretamente

Redigir um PDF é uma daquelas tarefas que parecem fáceis e dão errado de forma espetacular. Desenhar um retângulo preto sobre um nome no Acrobat ou Preview esconde o nome visualmente mas deixa o texto original no documento, recuperável em segundos por qualquer pessoa com um leitor PDF gratuito. Vazamentos de alto perfil na ONU, no Departamento de Justiça dos EUA e na equipe legal de Manafort envolveram precisamente esse erro. A redação adequada remove permanentemente o texto do documento, o que é mais difícil do que parece e se beneficia de uma ferramenta feita para isso.

Breve história de redações PDF mal feitas

Falhas de redação PDF são notícia recorrente há mais de vinte anos. Em maio de 2005, o exército dos EUA publicou um relatório sobre a morte do jornalista italiano Nicola Calipari no Iraque com trechos sensíveis «redigidos» por sobreposições pretas; jornalistas italianos que baixaram o PDF conseguiram selecionar e copiar o texto subjacente em minutos. Em 2009, o Departamento de Justiça dos EUA divulgou um memorando sobre interrogatórios reforçados com a mesma falha. Em 2019, a equipe legal de Paul Manafort entregou um documento judicial com redações pretas entre colchetes que se mostraram caixas transparentes, expondo detalhes de seus contatos com Konstantin Kilimnik. No mesmo ano, um relatório confidencial da Boeing para a FAA sobre o sistema MCAS do 737 MAX chegou aos jornalistas totalmente legível porque as redações eram apenas formas.

O padrão é tão consistente que a NSA publicou o guia «Redacting with Confidence» no final de 2005, e Adobe e Foxit lançaram modos de redação dedicados nos anos seguintes. A lição central: uma ferramenta de redação precisa deletar o texto subjacente e substituí-lo por uma marca opaca; cobrir visualmente com um retângulo nunca basta.

Por que cobrir visualmente falha

Um PDF armazena uma página como fluxo de conteúdo: uma sequência de operadores de desenho que colocam texto, linhas, retângulos e imagens na página. Quando você desenha um retângulo preto sobre um nome no Acrobat, o PDF agora contém tanto o operador de texto (escrever o nome) quanto o operador de retângulo (desenhar a caixa por cima). O leitor renderiza ambos, em ordem, produzindo uma página onde o nome está escondido visualmente. O operador de texto continua no arquivo, indexável, copiável e recuperável por qualquer parser PDF. O próprio Reader da Adobe deixa selecionar o texto escondido com Ctrl+A e colar no Bloco de Notas.

Campos de formulário, comentários e metadados estão em dicionários completamente separados dentro do PDF e não são afetados por sobreposições visuais. Um PDF «redigido» que ainda tem o nome do autor nos metadados, comentários referenciando o texto redigido por nome, ou valores de campo de formulário com os dados originais vaza tanto quanto um com texto sob um retângulo.

Como funciona uma ferramenta de redação correta

Uma redação real faz três coisas:

1. Remove o conteúdo de texto do fluxo de conteúdo nas regiões redigidas, para que qualquer parser futuro veja a marca de redação, não o texto original.
2. Remove qualquer metadado que referenciava o conteúdo original, incluindo autor do documento, último editor, software, nome de arquivo original e qualquer campo XMP personalizado.
3. Remove campos de formulário, comentários e anexos que sobreponham ou referenciem as regiões redigidas.
4. Substitui a área por uma marca opaca (geralmente um retângulo preto, às vezes com uma razão de redação tipo «[FOIA exemption b6]») desenhada sobre o conteúdo agora vazio.

Ferramentas de redação baseadas em navegador usando pdf-lib ou PDF.js podem fazer tudo isso em JavaScript sem subir o arquivo. O PDF redigido é reconstruído localmente e oferecido como download. Como o original nunca sai do seu dispositivo, a garantia de privacidade é total.

Como redigir um PDF, passo a passo

1. Faça upload do PDF. Solte o arquivo na página. A ferramenta lê na memória e mostra a primeira página em pré-visualização. Nada sobe.
2. Encontre o que redigir. Use a busca de texto para achar nomes, números de conta, datas de nascimento, endereços ou qualquer outra string sensível recorrente. A ferramenta destaca cada ocorrência.
3. Marque regiões de redação. Clique e arraste para desenhar um retângulo, ou clique em «redigir todas as correspondências» para aplicar a marca a todas as instâncias encontradas de uma vez.
4. Opcionalmente adicione um rótulo de razão. Fluxos governamentais (FOIA, Artigo 17 da LGPD, HIPAA) frequentemente exigem que a redação seja rotulada com a base legal. Digite o rótulo e ele é desenhado dentro do retângulo.
5. Aplique a redação. Esse é o passo-chave: deleta permanentemente o texto sob os retângulos do fluxo de conteúdo, tira metadados e salva um novo PDF com as marcas queimadas.
6. Verifique o resultado. Abra o PDF redigido, tente Ctrl+A e depois Ctrl+C e cole num editor de texto. Você deve ver os rótulos de redação (ou nada) onde estava o texto original, nunca o texto original em si.

O que redigir

Os casos óbvios são nomes, endereços, telefones, emails e números de conta. Os menos óbvios causam a maioria dos vazamentos do mundo real:

A última linha é especialmente importante: uma captura de um CRM mostrando uma ficha de cliente, embutida no PDF como imagem rasterizada, não será redigida por ferramentas de camada de texto. A imagem em si precisa ser pintada por cima.

Armadilhas comuns

• Caixa preta no Word e re-exportar para PDF. O texto sob a caixa continua no documento Word e sobrevive à exportação. Mesmo que sua página visível pareça limpa, o fluxo de conteúdo PDF contém o original.
• Usar marca-texto + mudar cor para preto. O marca-texto é uma anotação de comentário, não uma mudança de fluxo de conteúdo. Qualquer pessoa pode remover a anotação para revelar o original.
• Esquecer metadados. Um memo redigido com «Autor: João Silva» nas propriedades do documento te diz quem o escreveu, mesmo se todo nome no corpo estiver redigido.
• Esquecer comentários. Revisores do Adobe e PDFelement frequentemente adicionam comentários que referenciam nomes que estão sendo redigidos no corpo. Remova todos os comentários.
• Esquecer histórico de campos de formulário. Formulários PDF preenchidos podem carregar valores de envios anteriores em seu dicionário AcroForm. Achatar remove o campo, mas o valor pode ficar no histórico do documento.
• Não redigir imagens de texto. Rode OCR no documento, identifique as caixas envolventes de texto, então pinte por cima dessas regiões na imagem em si, não só na camada OCR.
• Confundir imprimir-para-PDF com redação. Imprimir para PDF rasteriza a página, o que remove a camada de texto, mas produz um arquivo bem maior e perde a busca. É um contorno pesado, não uma redação.
• Compartilhar o original por engano. Renomeie sempre o arquivo redigido com sufixo claro (-redigido.pdf) para não anexar o original sem querer.
• Confiar só na revisão visual. O PDF redigido pode parecer perfeito e ainda vazar. Sempre teste selecionando tudo e copiando, extraindo metadados com pdfinfo ou exiftool, e comparando o tamanho com o original.
• «Redação» baseada em permissão. Trancar um PDF com senha ou restringir cópia não é redação. Os dados continuam no arquivo e as restrições são consultivas; removedores de senha PDF estão a um clique.

Ferramentas e fluxos alternativos

Para um arquivamento legal pontual ou candidatura, a ferramenta de navegador é a resposta certa. Para redação em lote de centenas de pedidos FOIA, Acrobat Pro ou um pipeline scriptado qpdf + pdftotext se paga. Para redigir digitalizações carregadas de imagem, rode OCR primeiro e então redija as caixas envolventes tanto na camada OCR quanto no raster subjacente.

Checklist de verificação antes de compartilhar

Antes de enviar um PDF redigido para fora da sua equipe, passe por este checklist:

• Selecione todo o texto (Ctrl+A) e cole num editor. As strings redigidas não devem aparecer.
• Abra metadados: exiftool arquivo.pdf ou use a caixa de propriedades do leitor PDF. Autor, criador, último editor, nome de arquivo original, campos XMP personalizados devem estar todos vazios ou anônimos.
• Cheque comentários e anotações explicitamente. O painel de comentários do Acrobat, a lista de anotações do Preview ou pdftotext -layout revelam todos.
• Confirme que o tamanho do arquivo é materialmente menor que o original (texto e metadados removidos devem reduzir o tamanho). Um PDF redigido do mesmo tamanho em bytes que o original é suspeito.
• Para documentos com imagens: abra num visualizador de imagens e dê zoom nas áreas redigidas. Alguns visualizadores revelam conteúdo de imagem sob sobreposições.
• Para documentos com várias páginas: cheque pelo menos a primeira, a última e três páginas aleatórias do meio. Busque de novo os nomes redigidos para garantir que nenhuma ocorrência foi perdida.

Privacidade e o redator

O redator PDF de navegador roda inteiramente na memória do seu dispositivo. O arquivo que você solta é lido pela API File, parseado por pdf-lib ou PDF.js em JavaScript, re-renderizado com as redações aplicadas e oferecido como download. Nada sobe, nada é registrado, nada é cacheado no servidor. Para material sensível (arquivamentos judiciais, prontuários médicos, respostas FOIA, notificações de vazamento), esse fluxo estritamente local é a diferença entre uma redação que você controla e uma redação que você tem que confiar a outra pessoa. A ferramenta inteira pode rodar offline depois que a página carrega, o que você pode verificar desligando a rede e redigindo outro arquivo.