Desconecta: qué herramientas de archivos en línea suben realmente tu documento

«Seguro» responde a una pregunta que nadie hizo

Mira la parte superior de casi cualquier herramienta PDF en línea y encontrarás las mismas tres garantías: la conexión está cifrada, los archivos se borran, los servidores son seguros. Cada una de esas afirmaciones puede ser del todo cierta mientras lo que de verdad querías saber queda sin respuesta. El cifrado en tránsito protege el archivo de quien escuche el cable. No hace nada contra el servidor del otro extremo, que por definición recibe el archivo descifrado, porque le hace falta para trabajar con él.

El borrado tras un plazo fijo es un compromiso real y digno de tenerse, pero es una promesa sobre el futuro, no una descripción del presente. Entre la subida y el borrado hay un intervalo durante el cual una copia completa de tu documento reside en hardware que no controlas. Para iLovePDF ese intervalo llega a dos horas según sus propias palabras; para las herramientas gratuitas de Smallpdf es de una hora, y de catorce días para lo que pase por firma electrónica o compartición. Están entre los plazos más cortos del sector. La cuestión no es que sean largos. La cuestión es que la pregunta «¿cuánto tiempo se guarda?» solo existe porque la respuesta a «¿se envía siquiera?» fue sí.

Nada de esto vuelve poco fiables a esos servicios. Son grandes, están auditados, y un plazo de dos horas es un compromiso de ingeniería real que cuesta dinero cumplir. Lo que hace es convertirlos en algo de otra naturaleza que una herramienta que nunca recibe el archivo, y es la naturaleza lo que debe guiar la elección cuando el documento es una nómina, un resultado médico, un contrato en negociación o datos de un cliente de los que respondes legalmente.

Por qué desconectarse es la única prueba que no se puede falsear

Una herramienta que procesa archivos en un servidor no tiene forma de terminar el trabajo sin red. No hay repliegue ingenioso ni caché que salve: el código que hace el trabajo no está en tu máquina, así que con la conexión cortada no puede ejecutarse. Una herramienta que procesa archivos en el navegador ya ha descargado todo lo que necesita cuando pulsas el botón, y por eso no nota que la red ha desaparecido. La prueba funciona porque pide al software algo de lo que solo una de las dos arquitecturas es físicamente capaz.

Hay una complicación honesta, y conviene conocerla para que el resultado no te engañe. Las herramientas que corren en el navegador suelen ser voluminosas —un motor de vídeo compilado a WebAssembly pesa decenas de megabytes— y descargan ese motor en el primer uso. Si te desconectas antes de que esa descarga acabe, una herramienta totalmente local fallará, y parecerá una subida. El remedio está en el primer paso de arriba: deja que la página se asiente, usa la herramienta una vez conectado, y solo entonces desconecta. Lo que pruebas es si el archivo se mueve, no si el programa puede materializarse de la nada.

De dónde viene el motor es una cuestión aparte

Pasar la prueba sin conexión demuestra que tu archivo se quedó donde estaba. No demuestra que no se comunicara nada, porque muchas herramientas que corren en el navegador cargan su WebAssembly desde un CDN público y no desde su propio dominio. Esa sola petición le dice al operador del CDN tu dirección IP, tu navegador, la página en la que estabas y por tanto lo que ibas a hacer. El archivo es privado; el hecho de que convirtieras uno no lo es.

Este sitio sirve los suyos. El motor de audio y vídeo se obtiene de /ffmpeg/ en este dominio y el worker de renderizado de PDF de /pdfjs/, de modo que la única parte que se entera de que abriste una herramienta de archivos es el sitio que abriste deliberadamente. Es poca cosa al lado de no subir el documento, y es exactamente el tipo de pequeñez que se omite cuando un enlace a CDN es una línea de código y el autoalojamiento es un paso de compilación.

Lo que el procesamiento en el navegador te cuesta de verdad

Sería deshonesto presentarlo como gratis. El trabajo hecho en tu navegador corre en tu procesador, en tu memoria, y está limitado por ambos. Una granja de servidores puede lanzar treinta y dos núcleos sobre un vídeo de dos gigabytes; tu portátil no, y en un teléfono el sistema puede matar la pestaña sin más por consumir demasiada memoria. Con archivos multimedia muy grandes, un servicio con subida será realmente más rápido, y a veces será el único que llegue al final.

El compromiso también es desigual según el tipo de archivo, y la versión honesta merece decirse. El trabajo estructural sobre PDF, el redimensionado y la compresión de imágenes, los subtítulos y el texto, y casi todas las operaciones de audio caben cómodamente en un navegador con hardware corriente. Es la transcodificación de vídeo larga la que baja rápido el techo. Si el archivo es lo bastante pequeño para que la herramienta local termine, no hay razón para enviarlo a ninguna parte; si no lo es, esa sí es una razón real para elegir otra cosa, y mejor razón que un distintivo comercial.

Cuándo deja de ser una preferencia y pasa a ser una obligación

Para una foto de vacaciones, nada de esto importa. Para documentos manejados en el trabajo, puede dejar de ser cuestión de gusto. Bajo el RGPD, enviar a un servicio en línea un archivo con datos personales de otra persona convierte a ese servicio en encargado del tratamiento por tu cuenta, y ese montaje exige un contrato con el contenido que fija el artículo 28: no una casilla, un acuerdo de verdad. Subir una lista de clientes, un lote de candidaturas o una serie de formularios médicos a una herramienta web gratuita es, en sentido estricto, una transferencia de la que respondes y que probablemente no has documentado.

El atractivo de una herramienta que nunca recibe el archivo es que la pregunta se disuelve en vez de responderse. No hay encargado porque no hay tratamiento por cuenta ajena, no hay transferencia que documentar, no hay plazo de conservación que conciliar con el tuyo, no hay notificación de brecha que considerar por esa vía. Que eso te importe depende por completo de lo que contenga el documento, y por eso la prueba de este artículo merece hacerse una vez sobre lo que ya usas, antes del día en que resulte importar.

Una lista que puedes aplicar en un minuto

Haz primero la prueba sin conexión, porque responde a la única pregunta que admite un sí o un no rotundo. Si la herramienta la supera, mira de dónde vino el motor: abre la pestaña Red en una carga nueva y observa los dominios, no los nombres de archivo. Si todo viene del dominio del propio sitio, nadie de fuera se enteró de tu paso. Si la herramienta falla la prueba, estás en el lado de la subida, y las preguntas útiles a continuación son las que el servicio debe responder por escrito: cuánto tiempo se guarda, en qué país, y si hay forma de borrarlo de inmediato en vez de esperar a que venza el plazo.

Una última costumbre que conviene adoptar, elijas lo que elijas: juzga la herramienta por lo que hace con los archivos anodinos, no con los delicados. Nadie decide con calma en el momento de enviar un contrato. Se usa lo que se usó la vez anterior.

Preguntas frecuentes

¿Es fiable la prueba sin conexión, o puede una herramienta falsearla?

No puede falsearse en la dirección que importa. Una herramienta que necesita un servidor no puede producir tu archivo convertido sin él: el código sencillamente no está en tu máquina. El fallo va en el otro sentido: una herramienta realmente local puede suspender la prueba si desconectas antes de que termine de descargar su motor, por eso conviene dejar cargar la página y usarla una vez conectado. Una herramienta también podría trabajar en local y aun así enviar una copia a alguna parte, cosa que la prueba sin conexión no vería; para eso está la pestaña Red, y por eso existe la segunda mitad de la lista.

Si el archivo nunca sale de mi navegador, ¿de dónde viene la descarga?

De la propia página. La herramienta construye el resultado en memoria y se lo entrega al navegador como un blob, y el navegador lo guarda igual que guardaría algo traído de un servidor: mismo diálogo, misma carpeta de descargas. Nada en la descarga indica dónde se produjeron los bytes, y por eso justamente la prueba sin conexión es más informativa que ver llegar el archivo.

¿Son inseguros entonces los servicios con subida?

No, y sería mala lectura de este artículo concluir eso. Cifran en tránsito, borran según un calendario publicado, y los grandes se auditan con normas que la mayoría de los sitios pequeños nunca alcanzan. La distinción es que crean un plazo y una jurisdicción donde antes no había ninguno, y conviene saber que se está creando uno. Para la mayoría de los archivos es un buen intercambio, y para un vídeo de dos gigabytes puede ser el único viable.

¿Una herramienta en el navegador sigue funcionando si cierro la pestaña a medias?

No, y esa es la contrapartida de la garantía. El trabajo solo existe dentro de la página: cerrar la pestaña lo termina y no hay nada que reanudar; ninguna cola en un servidor guarda tu tarea. En una conversión de vídeo larga, mantén la pestaña en primer plano: algunos navegadores limitan tanto las pestañas en segundo plano que el trabajo se arrastra, y un teléfono puede reclamar la memoria sin más.

¿Qué archivos merecen de verdad este nivel de cuidado?

Todo lo que contenga datos personales de otros, porque ahí no es una preferencia sino una cuestión de cumplimiento: listas de clientes, candidaturas, documentos médicos, expedientes escolares. Luego todo aquello cuya divulgación te perjudicaría directamente: nóminas, extractos bancarios, documentos de identidad, un contrato antes de firmarlo, trabajo inédito. Para una carta de restaurante o una foto de vacaciones, lo sensato es usar lo más rápido. La razón para saber qué herramienta usas es que los hábitos adquiridos con la carta son los que aplicarás al contrato.