Lo que un PDF dice de ti: leer y borrar sus metadatos

Un PDF lleva sus metadatos dos veces

El primer almacén es el diccionario Info, y es tan sencillo como suena: un pequeño conjunto de entradas con nombre, situado cerca del final del archivo. Título, Autor, Asunto, Palabras clave, Creador, Productor, fecha de creación, fecha de modificación. Eso es prácticamente todo, existe desde las primerísimas versiones del formato, y es lo que casi todos los paneles de «propiedades del documento» te muestran.

El segundo almacén es un paquete XMP: un documento XML, envuelto en RDF, incrustado dentro del PDF como un objeto propio. Repite la mayoría de las mismas ideas con otros nombres — el título pasa a ser dc:title, el autor dc:creator, el programa de redacción xmp:CreatorTool — y puede llevar mucho más de lo que el diccionario Info sabe alojar: declaraciones de derechos, historiales de revisión, datos de cámara y de color, campos a medida que un flujo editorial se inventó. XMP es una especificación por derecho propio, publicada aparte del formato PDF y usada también en archivos de imagen y vídeo.

Nada en el formato obliga a que ambos coincidan. Un documento escrito en un procesador de textos, maquetado en un programa de diseño y exportado por un destilador puede haber recogido su diccionario Info en un paso y su XMP en otro. Renombra el archivo, edita las propiedades en una aplicación, guárdalo desde una segunda, y los dos almacenes se separan. No es un fallo exótico: es la condición ordinaria de un documento que ha pasado por más de un programa, que son casi todos.

Lo que el panel te muestra, en los dos almacenes

La herramienta lee el diccionario Info y te pone delante sus ocho campos como entradas editables. Debajo lee el paquete XMP y enumera las mismas ocho ideas con sus nombres XMP — dc:title, dc:creator, dc:description, dc:subject, xmp:CreatorTool, pdf:Producer, xmp:CreateDate, xmp:ModifyDate — en solo lectura, junto a las casillas con las que se supone que coinciden. En solo lectura porque el paquete es el XML de otro: se conserva entero o se elimina entero. Lo que el panel sigue guardándose es todo lo que excede esos ocho campos: menciones de derechos, historiales de revisión, campos que un flujo de publicación se inventó. Un paquete que no lleva ninguno de los ocho dice exactamente eso: presente, sin nada que este panel pueda alinear con un campo.

El archivo de prueba construido para hacerlo visible tenía un diccionario Info que llamaba al documento expediente de consejo rutinario y nombraba a un autor, y un paquete XMP que lo llamaba revisión salarial confidencial que no debía circular, nombraba a un autor completamente distinto y señalaba además otro programa de redacción. Al cargarlo ahora, el panel muestra los dos: el expediente rutinario en el campo editable, la revisión salarial justo debajo, las ocho filas XMP señaladas como discrepantes y, encima, una línea que dice que los dos almacenes no coinciden. La versión que habría salido sin que nadie la viera es la que ahora aparece resaltada en pantalla.

El resto del panel es inusualmente cuidadoso, y merece reconocimiento. Un campo vacío se elimina del archivo en lugar de escribirse como cadena vacía, así que un título borrado da un documento sin título, no uno cuyo título esté en blanco: una distinción que importa, porque los lectores muestran ambos de forma distinta. Una fecha que no tocaste se deja exactamente como estaba en vez de reescribirse con precisión de minuto. Y guardar no vuelve a sellar el documento: modificar un campo y guardar dejó el Productor, la fecha de creación y la de modificación idénticos byte a byte. La mayoría de las herramientas que tocan un PDF escriben su propio nombre en el campo Productor y ponen la fecha de modificación en ahora, lo que en una herramienta de metadatos equivaldría a añadir una huella mientras se dice que se quita una.

Borrar un almacén no borra el otro

Se probaron dos formas de borrar sobre el mismo archivo, y dan resultados distintos. Vaciar cada campo a mano y guardar eliminó por completo las entradas del diccionario Info: las ocho volvieron vacías. El paquete XMP quedó intacto: el archivo seguía llevando su bloque XML, seguía nombrando el título confidencial, seguía nombrando al otro autor, seguía nombrando el otro programa de redacción. Cualquiera que abra el resultado en una herramienta que lea XMP encontraría todo lo que quien lo borró creía haber quitado. El panel ahora lo dice antes de guardar: con los campos Info vacíos, cada fila XMP que aún lleva un valor queda señalada como discrepante, bajo un aviso que dice que al guardar se conserva.

El botón «Vaciar todos los campos» se comporta de otro modo, y mejor: vacía el formulario y marca por ti la casilla «Eliminar también el bloque XMP». Guardar después produjo un archivo sin entradas Info y sin ningún XMP: el título confidencial, el segundo autor y el nombre del destilador estaban todos ausentes de los bytes en bruto, no solo desconectados. Esa distinción importa más de lo que parece: borrar solo el puntero a un objeto deja sus bytes en el archivo, donde cualquier analizador dispuesto a rastrear los encontrará. Aquí el borrado quita el objeto mismo.

La regla práctica es corta. Usa el botón, no el teclado. Vaciar las casillas tú mismo es el gesto intuitivo, y sigue siendo el que deja media tarea sin hacer, porque quitar el bloque XMP es una marca aparte que solo aparece si hay un bloque que quitar. Lo que ha cambiado es que esa marca ya no es silenciosa: el panel señala lo que sobreviviría al guardado y te avisa. Lo que no hará es marcar la casilla por ti. El botón sí.

Lo que el campo Productor deja escapar

Dos de los ocho campos nombran programas en lugar de personas, y filtran más de lo que casi nadie espera. Creador nombra el programa en que se escribió el documento; Productor nombra el programa que lo convirtió en PDF. Ambos suelen incluir un número de versión, y a veces también el sistema operativo. El paquete XMP lleva ambos otra vez con sus propios nombres, y nada obliga a que coincidan: en el archivo de prueba el diccionario Info nombraba dos veces un procesador de textos mientras el paquete nombraba un programa de maquetación y una biblioteca PDF; un solo documento, cuatro programas en el panel.

Un documento realmente publicado usado en estas pruebas — una ficha informativa pública de un regulador nacional de telecomunicaciones — nombra como Productor una versión concreta de destilador, con plataforma incluida. Es poca cosa en un documento público y bastante más en uno que no querías que se rastreara hasta un escritorio concreto. Le dice al lector qué programas licencia tu organización, más o menos cuándo se actualizaron por última vez y en qué plataforma corren. Combínalo con la fecha de creación y la máquina queda bastante acotada.

Lo que sobrevive a todo borrado: el identificador del documento

Todo PDF guardado por un productor serio lleva un par de identificadores justo al final del archivo. El primero se genera al crear el documento y en teoría nunca cambia; el segundo se regenera cada vez que el archivo se actualiza. Juntos permiten a un programa reconocer que dos archivos son versiones del mismo documento, que es lo que hace funcionar las actualizaciones incrementales y las firmas digitales.

Ese par no es un metadato en el sentido que el panel entiende, así que ni se muestra ni se ofrece, y sobrevive. Un documento real de ocho páginas pasó por un borrado completo: cada entrada Info eliminada, el objeto XMP retirado, el archivo reescrito con menos de la mitad de su tamaño original. Su par de identificadores salió por el otro extremo idéntico carácter por carácter al par con el que entró. Si alguna vez enviaste a alguien un borrador anterior del mismo documento, los dos archivos siguen pudiendo emparejarse, y el identificador es lo bastante estable como para afirmarlo con confianza.

Borrar metadatos no es censurar

Un PDF puede editarse sin reescribirse. En lugar de guardar un archivo nuevo, un programa puede añadir los objetos cambiados al final del existente, junto con una pequeña tabla que dice qué objetos han sido reemplazados. Esto se llama actualización incremental, y así funcionan las anotaciones, el relleno de formularios y las firmas digitales sin invalidar lo anterior. La consecuencia es que un PDF puede contener versiones anteriores de su propio contenido, aún presentes en los bytes, simplemente ya no apuntadas.

Así que la pregunta justa es si esta herramienta reescribe o añade, y la respuesta es que reescribe. Se construyó un archivo con una página cuyo texto había sido sustituido por una actualización incremental, y se le aplicó un borrado completo de metadatos. La salida fue un archivo de una sola revisión con menos de la mitad del tamaño, y un lector mostraba el texto de sustitución, correctamente. Pero el original suplantado seguía ahí: un objeto completo y descomprimible que llevaba las palabras que la actualización debía ocultar, recuperable en unas pocas líneas de código. La reconstrucción copia todos los objetos que conoce, referenciados o no; no averigua cuáles han quedado inalcanzables.

Esto no es tanto una crítica a la herramienta como una frontera alrededor de lo que promete. Es una herramienta de metadatos: quita lo que el archivo dice de sí mismo, y lo hace a fondo, en ambos almacenes, cuando usas el botón. No es un saneador, no recoge la basura del documento, y no puede quitar un texto que cubriste con un rectángulo negro en otro programa. Si un documento debe ser seguro para publicar, la pasada de metadatos es un paso entre varios, y el último debería ser releer el archivo terminado con una herramienta que te muestre lo que hay realmente dentro.

Preguntas frecuentes

¿Qué diferencia hay entre el diccionario Info y el XMP, y por qué discrepan?

Son dos almacenes independientes para información que se solapa. El diccionario Info es una lista corta de entradas con nombre y forma parte del formato desde el principio. El XMP es un bloque XML incrustado como objeto, capaz de llevar los mismos campos con nombres normalizados más lo que un flujo de trabajo quiera añadir. Nada los sincroniza. Un documento escrito en un programa, maquetado en un segundo y exportado por un tercero puede recoger cada almacén en un momento distinto, y renombrar o volver a guardar actualiza uno sin el otro. Por eso un archivo puede presentar un título inocuo en el panel de propiedades de un lector y otro muy distinto en una herramienta que lea XMP.

El panel muestra los valores XMP pero no me deja cambiarlos. ¿Por qué?

Porque un paquete es un documento XML entero, no ocho campos. Los ocho de la pantalla son los que el diccionario Info también lleva, y eso es justamente lo que permite compararlos lado a lado; el mismo paquete puede llevar menciones de derechos, un historial de revisiones, perfiles de color y campos que un flujo de publicación se inventó, bajo esquemas que esta herramienta desconoce. Reescribir los ocho en su sitio significaría volver a serializar el XML de otro y confiar en que nada más se rompiera, y un paquete a medio actualizar es peor que uno intacto, porque seguiría discrepando del diccionario Info, solo que de forma menos visible. Así que el paquete se lee, se compara y después se conserva entero o se elimina entero. Si necesitas que el XMP diga algo concreto en vez de nada, ajústalo en el programa que produjo el documento.

Lo he borrado todo. ¿Es ahora anónimo el documento?

Menos identificable, no anónimo. Si usaste el botón «Vaciar todos los campos», ambos almacenes de metadatos han desaparecido de verdad, lo que quita el nombre del autor, los programas, las versiones y las fechas. Queda el par de identificadores al final del archivo, que atravesó un borrado completo sin cambiar y aún puede enlazar este archivo con cualquier copia anterior del mismo documento. Más allá, el contenido mismo te identifica: fuentes con licencia, un membrete, un giro que siempre usas, una imagen de firma y cualquier texto que dejara una revisión anterior. Borrar metadatos es un paso útil y una mala última línea de defensa.

¿Guardar sella el archivo con un nuevo productor o una nueva fecha?

No, y es deliberado. La mayoría de las bibliotecas que escriben un PDF ponen su propio nombre en el campo Productor y fijan la fecha de modificación en el instante de guardar, lo que en una herramienta cuyo fin es borrar rastros equivaldría a añadir uno. Aquí el sellado automático está desactivado y cada campo se escribe o se borra explícitamente. Probado editando un solo campo y guardando: el Productor, la fecha de creación y la de modificación volvieron sin cambios. Una fecha que nunca tocaste también se deja tal cual en vez de reescribirse: las entradas del formulario solo tienen precisión de minuto, así que volver a guardar una fecha que no editaste perdería en silencio sus segundos, lo cual ya es una edición.

¿Borrar los metadatos quita contenido oculto o eliminado?

No. La herramienta quita lo que el archivo dice de sí mismo, no lo que el archivo contiene. Un PDF puede editarse añadiendo cambios al final en lugar de reescribirlo, así que versiones anteriores de una página pueden seguir en los bytes sin que nada apunte a ellas. Esta herramienta sí reconstruye el archivo en vez de ampliarlo: un archivo de prueba de dos revisiones volvió como una, con menos de la mitad del tamaño, mostrando correctamente el contenido nuevo. Pero la reconstrucción copia todos los objetos que conoce, se refiera algo a ellos o no, de modo que el original suplantado seguía en la salida y podía releerse con unas pocas líneas de código. Toma el borrado de metadatos como un paso hacia un documento publicable, nunca como el conjunto.

¿Por qué rechaza la herramienta mi PDF, y cómo debo introducir las palabras clave?

Un rechazo es casi siempre cifrado. La herramienta lo dice con todas las letras y te pide que quites primero la contraseña. Ojo: un archivo puede estar cifrado sin pedirte jamás una contraseña; muchos documentos publicados llevan un gestor de seguridad con contraseña de usuario vacía, lo que les permite abrirse al instante y aun así negarse a ser modificados. Para las palabras clave, usa comas. La coma es el único separador fiable, porque los productores discrepan: unos escriben las palabras clave separadas por espacios y otros por comas. Si tu línea no contiene ninguna coma, se escribe exactamente como la tecleaste, como una sola palabra clave, en lugar de partirse por los espacios y convertirse en silencio en varias.