Desligue a ligação: que ferramentas de ficheiros online enviam mesmo o seu documento

«Seguro» responde a uma pergunta que ninguém fez

Olhe para o topo de quase qualquer ferramenta PDF online e encontrará as mesmas três garantias: a ligação é cifrada, os ficheiros são apagados, os servidores são seguros. Cada uma dessas afirmações pode ser inteiramente verdadeira enquanto aquilo que queria mesmo saber fica sem resposta. A cifra em trânsito protege o ficheiro de quem escute o cabo. Não faz nada contra o servidor do outro lado, que por definição recebe o ficheiro decifrado, porque precisa dele assim para trabalhar.

A eliminação após um prazo fixo é um compromisso real e que vale a pena ter, mas é uma promessa sobre o futuro, não uma descrição do presente. Entre o envio e a eliminação há um intervalo durante o qual uma cópia completa do seu documento reside em hardware que não controla. Para a iLovePDF esse intervalo vai até duas horas segundo as suas próprias palavras; para as ferramentas gratuitas da Smallpdf é de uma hora, e de catorze dias para tudo o que passe por assinatura eletrónica ou partilha. Estão entre os prazos mais curtos do setor. A questão não é serem longos. A questão é que a pergunta «quanto tempo é guardado?» só existe porque a resposta a «chega sequer a ser enviado?» foi sim.

Nada disto torna esses serviços pouco fiáveis. São grandes, são auditados, e um prazo de duas horas é um compromisso de engenharia real que custa dinheiro a cumprir. O que faz é torná-los uma coisa de outra natureza do que uma ferramenta que nunca recebe o ficheiro, e é pela natureza que se deve escolher quando o documento é um recibo de vencimento, um resultado médico, um contrato em negociação ou dados de um cliente pelos quais responde legalmente.

Porque desligar a ligação é o único teste que não se pode falsear

Uma ferramenta que processa ficheiros num servidor não tem maneira de terminar o trabalho sem rede. Não há recuo engenhoso nem cache que salve: o código que faz o trabalho não está na sua máquina, por isso com a ligação cortada não pode correr. Uma ferramenta que processa ficheiros no navegador já descarregou tudo o que precisa quando carrega no botão, e por isso não dá pela falta da rede. O teste funciona porque pede ao software uma coisa de que apenas uma das duas arquiteturas é fisicamente capaz.

Há uma complicação honesta, e vale a pena conhecê-la para que o resultado não o engane. As ferramentas que correm no navegador costumam ser volumosas — um motor de vídeo compilado para WebAssembly pesa dezenas de megabytes — e vão buscar esse motor na primeira utilização. Se se desligar antes de esse descarregamento terminar, uma ferramenta inteiramente local vai falhar, e parecerá um envio. O remédio está no primeiro passo acima: deixe a página assentar, use a ferramenta uma vez ligado, e só então desligue. O que testa é se o ficheiro se move, não se o programa se materializa do nada.

De onde vem o motor é uma questão à parte

Passar o teste offline prova que o seu ficheiro ficou onde estava. Não prova que nada foi comunicado, porque muitas ferramentas que correm no navegador carregam o seu WebAssembly de um CDN público e não do seu próprio domínio. Esse único pedido diz ao operador do CDN o seu endereço IP, o seu navegador, a página em que estava e portanto o que ia fazer. O ficheiro é privado; o facto de ter convertido um não é.

Este site serve os seus. O motor de áudio e vídeo é obtido de /ffmpeg/ neste domínio e o worker de renderização de PDF de /pdfjs/, de modo que a única parte que fica a saber que abriu uma ferramenta de ficheiros é o site que abriu deliberadamente. É pouca coisa ao lado de não enviar o documento, e é exatamente o tipo de pequenez que se salta quando um link de CDN é uma linha de código e o alojamento próprio é um passo de compilação.

O que o processamento no navegador lhe custa realmente

Seria desonesto apresentar isto como gratuito. O trabalho feito no seu navegador corre no seu processador, na sua memória, e está limitado por ambos. Uma quinta de servidores pode lançar trinta e dois núcleos sobre um vídeo de dois gigabytes; o seu portátil não, e num telemóvel o separador pode ser simplesmente morto pelo sistema por usar demasiada memória. Em ficheiros multimédia muito grandes, um serviço com envio será realmente mais rápido, e por vezes será o único a chegar ao fim.

O compromisso também é desigual conforme o tipo de ficheiro, e a versão honesta merece ser dita. O trabalho estrutural sobre PDF, o redimensionamento e a compressão de imagens, as legendas e o texto, e quase todas as operações de áudio cabem confortavelmente num navegador com hardware comum. É a transcodificação de vídeo longa que baixa depressa o teto. Se o ficheiro for pequeno o suficiente para a ferramenta local terminar, não há razão para o enviar seja para onde for; se não for, essa é uma razão real para escolher outra coisa, e melhor razão do que um selo comercial.

Quando deixa de ser uma preferência e passa a ser uma obrigação

Para uma foto de férias, nada disto importa. Para documentos tratados no âmbito do trabalho, pode deixar de ser questão de gosto. Ao abrigo do RGPD, enviar a um serviço online um ficheiro com dados pessoais de outra pessoa torna esse serviço um subcontratante a agir por sua conta, e esse arranjo exige um contrato com o conteúdo definido pelo artigo 28.º — não uma caixa para assinalar, um acordo a sério. Enviar uma lista de clientes, um lote de candidaturas ou uma série de formulários médicos para uma ferramenta web gratuita é, em sentido estrito, uma transferência pela qual responde e que provavelmente não formalizou.

O atrativo de uma ferramenta que nunca recebe o ficheiro é que a pergunta se dissolve em vez de ser respondida. Não há subcontratante porque não há tratamento por conta de outrem, não há transferência a documentar, não há prazo de conservação a conciliar com o seu, não há notificação de violação a considerar por essa via. Que isso lhe importe depende inteiramente do que está no documento — razão pela qual o teste deste artigo merece ser feito uma vez sobre aquilo que já usa, antes do dia em que passe a importar.

Uma lista que pode aplicar num minuto

Faça primeiro o teste offline, porque responde à única pergunta que admite um sim ou um não firme. Se a ferramenta sobreviver, veja de onde veio o motor: abra o separador Rede num carregamento novo e observe os domínios, não os nomes dos ficheiros. Se tudo vier do domínio do próprio site, ninguém de fora ficou a saber da sua passagem. Se a ferramenta falhar o teste, está do lado do envio, e as perguntas úteis a seguir são as que o serviço deve responder por escrito: quanto tempo é guardado, em que país, e se há maneira de apagar de imediato em vez de esperar pelo fim do prazo.

Um último hábito que vale a pena adotar, escolha o que escolher: julgue a ferramenta pelo que faz com os ficheiros banais, não com os sensíveis. Ninguém decide com calma no momento de enviar um contrato. Usa-se o que se usou da vez anterior.

Perguntas frequentes

O teste offline é fiável, ou uma ferramenta pode falseá-lo?

Não pode ser falseado no sentido que importa. Uma ferramenta que precisa de um servidor não consegue produzir o seu ficheiro convertido sem ele — o código simplesmente não está na sua máquina. A falha corre no outro sentido: uma ferramenta realmente local pode chumbar no teste se se desligar antes de ela acabar de descarregar o motor, por isso convém deixar carregar e usá-la uma vez ligado primeiro. Uma ferramenta também poderia trabalhar localmente e ainda assim enviar uma cópia para algum lado, o que o teste offline não veria; é para isso que serve o separador Rede, e é por isso que existe a segunda metade da lista.

Se o ficheiro nunca sai do meu navegador, de onde vem o descarregamento?

Da própria página. A ferramenta constrói o resultado em memória e entrega-o ao navegador como um blob, e o navegador guarda-o exatamente como guardaria algo vindo de um servidor — mesma caixa de diálogo, mesma pasta de transferências. Nada no descarregamento indica onde os bytes foram produzidos, e é precisamente por isso que o teste offline é mais informativo do que ver o ficheiro chegar.

Os serviços com envio são então inseguros?

Não, e seria má leitura deste artigo concluir isso. Cifram em trânsito, apagam segundo um calendário publicado, e os grandes são auditados por normas que a maioria dos sites pequenos nunca alcança. A distinção é que criam um prazo e uma jurisdição onde não havia nenhum, e convém saber que se está a criar um. Para a maioria dos ficheiros é uma boa troca, e para um vídeo de dois gigabytes pode ser a única viável.

Uma ferramenta no navegador continua a funcionar se eu fechar o separador a meio?

Não, e essa é a contrapartida da garantia. O trabalho só existe dentro da página: fechar o separador põe-lhe fim e não há nada para retomar — nenhuma fila num servidor guarda a sua tarefa. Numa conversão de vídeo longa, mantenha o separador em primeiro plano: alguns navegadores travam tanto os separadores em segundo plano que o trabalho se arrasta, e um telemóvel pode reclamar a memória sem mais.

Que ficheiros justificam mesmo este nível de cuidado?

Tudo o que contenha dados pessoais de outros, porque aí não é uma preferência mas uma questão de conformidade — listas de clientes, candidaturas, documentos médicos, processos escolares. Depois tudo aquilo cuja divulgação o prejudicaria diretamente: recibos de vencimento, extratos bancários, documentos de identidade, um contrato antes de assinado, trabalho inédito. Para uma ementa de restaurante ou uma foto de férias, o sensato é usar o mais rápido. A razão para saber que ferramenta usa é que os hábitos ganhos na ementa são os que aplicará ao contrato.