Che cosa dice di te un PDF: leggere e cancellare i suoi metadati

Un PDF porta i suoi metadati due volte

Il primo deposito è il dizionario Info, ed è tanto semplice quanto sembra: un piccolo insieme di voci con nome, collocato verso la fine del file. Titolo, Autore, Oggetto, Parole chiave, Creatore, Produttore, data di creazione, data di modifica. È praticamente tutto, esiste fin dalle primissime versioni del formato, ed è ciò che quasi ogni pannello «proprietà del documento» ti mostra.

Il secondo deposito è un pacchetto XMP: un documento XML, avvolto in RDF, incorporato dentro il PDF come oggetto a sé. Ripete la maggior parte delle stesse idee sotto altri nomi — il titolo diventa dc:title, l'autore dc:creator, il programma di scrittura xmp:CreatorTool — e può portare molto più di quanto il dizionario Info sappia ospitare: dichiarazioni di diritti, cronologie di revisione, dati di fotocamera e di colore, campi su misura che un flusso editoriale si è inventato. XMP è una specifica a pieno titolo, pubblicata separatamente dal formato PDF e usata anche in file di immagine e video.

Nulla nel formato obbliga i due ad accordarsi. Un documento scritto in un elaboratore di testi, impaginato in un programma di grafica ed esportato da un distillatore può aver raccolto il suo dizionario Info in un passaggio e il suo XMP in un altro. Rinomina il file, modifica le proprietà in un'applicazione, salvalo da una seconda, e i due depositi divergono. Non è un guasto esotico: è la condizione ordinaria di un documento passato per più di un programma, cioè la maggior parte dei documenti.

Che cosa ti mostra il pannello, in entrambi i depositi

Lo strumento legge il dizionario Info e ti mette davanti tutti e otto i campi come voci modificabili. Sotto, legge il pacchetto XMP ed elenca le stesse otto idee sotto i loro nomi XMP — dc:title, dc:creator, dc:description, dc:subject, xmp:CreatorTool, pdf:Producer, xmp:CreateDate, xmp:ModifyDate — in sola lettura, accanto alle caselle con cui dovrebbero concordare. In sola lettura perché il pacchetto è l'XML di qualcun altro: si tiene intero o si rimuove intero. Ciò che il pannello continua a tenersi per sé è tutto quanto va oltre quegli otto campi: dichiarazioni di diritti, storici di revisione, campi che un flusso editoriale si è inventato. Un pacchetto che non ne porta nessuno dice esattamente questo: presente, senza nulla che questo pannello possa affiancare a un campo.

Il file di prova costruito per renderlo visibile aveva un dizionario Info che chiamava il documento fascicolo di consiglio di routine e nominava un autore, e un pacchetto XMP che lo chiamava revisione salariale riservata da non far circolare, nominava un autore del tutto diverso e indicava anche un altro programma di scrittura. Caricandolo ora, il pannello mostra entrambi: il fascicolo di routine nel campo modificabile, la revisione salariale subito sotto, tutte e otto le righe XMP segnalate come divergenti e, sopra, una riga che dice che i due depositi non concordano. La versione che sarebbe uscita senza essere vista è quella ora evidenziata sullo schermo.

Il resto del pannello è insolitamente accurato, e merita credito. Un campo vuoto viene tolto dal file invece che scritto come stringa vuota, quindi un titolo cancellato dà un documento senza titolo, non uno il cui titolo è in bianco — una distinzione che conta, perché i lettori mostrano i due in modo diverso. Una data che non hai toccato resta esattamente com'era invece di essere riscritta al minuto. E salvare non ristampiglia il documento: modificare un campo e salvare ha lasciato il Produttore, la data di creazione e quella di modifica identici byte per byte. La maggior parte degli strumenti che toccano un PDF scrive il proprio nome nel campo Produttore e mette la data di modifica ad adesso, il che su uno strumento di metadati equivarrebbe ad aggiungere un'impronta mentre si sostiene di toglierne una.

Cancellare un deposito non cancella l'altro

Sono stati provati due modi di cancellare sullo stesso file, e danno risultati diversi. Svuotare ogni campo a mano e salvare ha tolto del tutto le voci del dizionario Info: tutte e otto sono tornate vuote. Il pacchetto XMP è rimasto intatto: il file portava ancora il suo blocco XML, nominava ancora il titolo riservato, ancora l'altro autore, ancora l'altro programma di scrittura. Chiunque apra il risultato in uno strumento che legge l'XMP troverebbe tutto ciò che chi ha cancellato credeva di aver rimosso. Il pannello ora lo dice prima di salvare: svuotati i campi Info, ogni riga XMP che porta ancora un valore viene segnalata come divergente, sotto un avviso che dice che salvando resta.

Il pulsante «Svuotare tutti i campi» si comporta diversamente, e meglio: svuota il modulo e spunta per te la casella «Rimuovere anche il blocco XMP». Salvare dopo ha prodotto un file senza voci Info e senza alcun XMP — il titolo riservato, il secondo autore e il nome del distillatore erano tutti assenti dai byte grezzi, non semplicemente scollegati. Quella distinzione pesa più di quanto sembri: cancellare solo il puntatore a un oggetto lascia i suoi byte nel file, dove qualsiasi analizzatore disposto a scandire li troverà. Qui la rimozione toglie l'oggetto stesso.

La regola pratica è breve. Usa il pulsante, non la tastiera. Svuotare le caselle da solo è il gesto intuitivo, ed è ancora quello che lascia metà del lavoro a metà, perché rimuovere il blocco XMP è una spunta separata, che compare soltanto se c'è un blocco da rimuovere. Ciò che è cambiato è che quella spunta non è più silenziosa: il pannello segnala che cosa sopravvivrebbe al salvataggio e ti avverte. Ciò che non fa è spuntare la casella al posto tuo. Il pulsante sì.

Che cosa lascia trapelare il campo Produttore

Due degli otto campi nominano programmi anziché persone, e lasciano trapelare più di quanto quasi tutti si aspettino. Creatore nomina il programma in cui il documento è stato scritto; Produttore nomina il programma che lo ha trasformato in PDF. Entrambi includono di solito un numero di versione, e talvolta anche il sistema operativo. Il pacchetto XMP porta entrambi di nuovo sotto i propri nomi, e nulla impone che coincidano: nel file di prova il dizionario Info nominava due volte un elaboratore di testi mentre il pacchetto nominava un programma di impaginazione e una libreria PDF — un solo documento, quattro programmi nel pannello.

Un documento realmente pubblicato usato in queste prove — una scheda informativa pubblica di un'autorità nazionale per le telecomunicazioni — indica come Produttore una versione precisa di distillatore, piattaforma inclusa. È poca cosa su un documento pubblico e parecchio di più su un documento che non volevi fosse ricondotto a una scrivania precisa. Dice al lettore quali programmi la tua organizzazione licenzia, all'incirca quando sono stati aggiornati l'ultima volta e su quale piattaforma girano. Combinalo con la data di creazione e la macchina è notevolmente circoscritta.

Ciò che sopravvive a ogni cancellazione: l'identificatore del documento

Ogni PDF salvato da un produttore serio porta una coppia di identificatori proprio in fondo al file. Il primo viene generato alla creazione del documento e in linea di principio non cambia mai; il secondo viene rigenerato ogni volta che il file è aggiornato. Insieme permettono a un programma di riconoscere che due file sono versioni dello stesso documento, ed è ciò che fa funzionare gli aggiornamenti incrementali e le firme digitali.

Quella coppia non è un metadato nel senso che il pannello intende, quindi non viene né mostrata né proposta — e sopravvive. Un documento reale di otto pagine è passato per una cancellazione completa: ogni voce Info eliminata, l'oggetto XMP rimosso, il file riscritto a meno della metà della dimensione originale. La sua coppia di identificatori è uscita dall'altro capo identica carattere per carattere a quella con cui era entrata. Se hai mai mandato a qualcuno una bozza precedente dello stesso documento, i due file restano accoppiabili, e l'identificatore è abbastanza stabile da dirlo con sicurezza.

Cancellare i metadati non è oscurare

Un PDF può essere modificato senza essere riscritto. Invece di salvare un file nuovo, un programma può accodare gli oggetti cambiati alla fine di quello esistente, insieme a una piccola tabella che dice quali oggetti sono stati sostituiti. Si chiama aggiornamento incrementale, ed è così che funzionano annotazioni, compilazione di moduli e firme digitali senza invalidare ciò che è venuto prima. La conseguenza è che un PDF può contenere versioni precedenti del proprio contenuto, ancora presenti nei byte, semplicemente non più puntate.

La domanda giusta è dunque se questo strumento riscriva o accodi, e la risposta è che riscrive. È stato costruito un file con una pagina il cui testo era stato sostituito da un aggiornamento incrementale, poi sottoposto a una cancellazione completa dei metadati. L'uscita era un file a revisione unica di meno della metà della dimensione, e un lettore mostrava correttamente il testo sostitutivo. Ma l'originale soppiantato era ancora lì — un oggetto completo e decomprimibile che portava le parole che l'aggiornamento avrebbe dovuto nascondere, recuperabile in poche righe di codice. La ricostruzione copia ogni oggetto che conosce, referenziato o no; non determina quali siano ormai irraggiungibili.

Questa non è tanto una critica allo strumento quanto un confine attorno a ciò che promette. È uno strumento di metadati: toglie ciò che il file dice di sé, e lo fa a fondo, in entrambi i depositi, quando usi il pulsante. Non è un sanificatore, non raccoglie i rifiuti del documento, e non può togliere un testo che hai coperto con un rettangolo nero in un altro programma. Se un documento deve essere sicuro da pubblicare, il passaggio sui metadati è uno fra più passi, e l'ultimo dovrebbe essere rileggere il file finito con uno strumento che ti mostri che cosa c'è davvero dentro.

Domande frequenti

Che differenza c'è fra il dizionario Info e l'XMP, e perché divergono?

Sono due depositi indipendenti per informazioni che si sovrappongono. Il dizionario Info è un breve elenco di voci con nome e fa parte del formato fin dall'inizio. L'XMP è un blocco XML incorporato come oggetto, capace di portare gli stessi campi sotto nomi normalizzati più tutto ciò che un flusso di lavoro voglia aggiungere. Nulla li sincronizza. Un documento scritto in un programma, impaginato in un secondo ed esportato da un terzo può raccogliere ciascun deposito in un momento diverso, e rinominare o risalvare aggiorna l'uno senza l'altro. Ecco perché un file può presentare un titolo innocuo nel pannello proprietà di un lettore e uno del tutto diverso in uno strumento che legge l'XMP.

Il pannello mostra i valori XMP ma non me li lascia cambiare. Perché?

Perché un pacchetto è un intero documento XML, non otto campi. Gli otto sullo schermo sono quelli che porta anche il dizionario Info, ed è proprio questo a renderli confrontabili fianco a fianco; lo stesso pacchetto può portare dichiarazioni di diritti, uno storico di revisioni, profili di colore e campi che un flusso editoriale si è inventato, sotto schemi di cui questo strumento non sa nulla. Riscrivere gli otto sul posto vorrebbe dire riserializzare l'XML di qualcun altro sperando che nient'altro si rompa — e un pacchetto aggiornato a metà è peggio di uno intatto, perché continuerebbe a divergere dal dizionario Info, solo in modo meno visibile. Perciò il pacchetto viene letto, confrontato e poi tenuto intero o rimosso intero. Se ti serve che l'XMP dica qualcosa di preciso invece di nulla, impostalo nel programma che ha prodotto il documento.

Ho cancellato tutto. Il documento è ora anonimo?

Meno identificabile, non anonimo. Se hai usato il pulsante «Svuotare tutti i campi», entrambi i depositi di metadati sono davvero spariti, il che toglie il nome dell'autore, i programmi, le versioni e le date. Resta la coppia di identificatori alla fine del file, che ha attraversato una cancellazione completa senza cambiare e può ancora collegare questo file a qualsiasi copia precedente dello stesso documento. Oltre a ciò, il contenuto stesso ti identifica: font in licenza, una carta intestata, una formula che usi sempre, un'immagine di firma e ogni testo che una revisione precedente abbia lasciato. Cancellare i metadati è un passo utile e una pessima ultima linea di difesa.

Salvare marchia il file con un nuovo produttore o una nuova data?

No, ed è voluto. La maggior parte delle librerie che scrivono un PDF mette il proprio nome nel campo Produttore e fissa la data di modifica all'istante del salvataggio, il che su uno strumento il cui scopo è togliere tracce equivarrebbe ad aggiungerne una. Qui la marchiatura automatica è disattivata e ogni campo viene scritto o cancellato esplicitamente. Provato modificando un singolo campo e salvando: Produttore, data di creazione e data di modifica sono tornati tutti invariati. Anche una data che non hai mai toccato viene lasciata com'è invece di essere riscritta — le voci del modulo hanno solo precisione al minuto, quindi risalvare una data non modificata ne perderebbe in silenzio i secondi, il che è già una modifica.

Cancellare i metadati rimuove contenuto nascosto o eliminato?

No. Lo strumento toglie ciò che il file dice di sé, non ciò che il file contiene. Un PDF può essere modificato accodando le variazioni alla fine invece di riscriverlo, quindi versioni precedenti di una pagina possono restare nei byte senza che nulla le punti. Questo strumento ricostruisce davvero il file invece di accodarvi: un file di prova a due revisioni è tornato come una sola, a meno della metà della dimensione, mostrando correttamente il contenuto nuovo. Ma la ricostruzione copia ogni oggetto che conosce, che qualcosa vi faccia ancora riferimento o meno, così l'originale soppiantato era ancora nell'uscita e poteva essere riletto con poche righe di codice. Considera la cancellazione dei metadati un passo verso un documento pubblicabile, mai il tutto.

Perché lo strumento rifiuta il mio PDF, e come devo inserire le parole chiave?

Un rifiuto è quasi sempre cifratura. Lo strumento lo dice a chiare lettere e ti chiede di togliere prima la password. Nota che un file può essere cifrato senza chiederti mai una password: molti documenti pubblicati portano un gestore di sicurezza con password utente vuota, che li lascia aprire all'istante pur rifiutando di essere modificati. Per le parole chiave, usa le virgole. La virgola è l'unico separatore su cui si possa contare, perché i produttori divergono: alcuni scrivono le parole chiave separate da spazi, altri da virgole. Se la tua riga non contiene alcuna virgola, viene scritta esattamente come l'hai digitata, come un'unica parola chiave, invece di essere spezzata sugli spazi e trasformata in silenzio in parecchie.