Limpar os metadados de uma fotografia: o que sai mesmo

Um ficheiro de fotografia não tem um bloco de metadados, tem seis

Quase toda a gente diz EXIF quando quer dizer metadados, e é aí que começam os problemas. O EXIF é um bloco entre vários, e um JPEG é uma sequência de segmentos etiquetados que podem conter cada um coisa diferente. Há o segmento JFIF com informação básica de densidade. Há o próprio bloco EXIF, que transporta marca e modelo da câmara, programa de edição, marca temporal, definições de exposição, por vezes o número de série do corpo e a objetiva, e — num subdiretório à parte — a posição GPS. Há o XMP, um pacote XML que os programas de edição usam para os seus próprios campos. Há um registo IPTC, normalmente embrulhado num bloco de recursos do Photoshop, com legendas, assinaturas e direitos. Há um perfil de cor ICC. E há um segmento de comentário livre onde qualquer coisa pode escrever.

Aquele que vale a pena conhecer está escondido dentro do EXIF e não ao lado: uma segunda cópia completa da imagem, em tamanho de miniatura, guardada para que uma câmara mostre uma pré-visualização instantânea. No ficheiro de teste que construímos, essa miniatura eram 5628 bytes de JPEG a sério. Importa porque uma ferramenta que edita a imagem principal e só reescreve as etiquetas que conhece pode deixar a miniatura intacta — e então a versão pequena continua a mostrar a cena tal como estava antes de recortar, endireitar ou tapar alguma coisa. Outros formatos têm as suas próprias soluções: um PNG guarda texto em blocos tEXt, zTXt e iTXt e pode transportar um bloco EXIF inteiro num bloco eXIf, enquanto o HEIC e o WebP embrulham os seus próprios contentores à volta do mesmo tipo de registos.

Quanto ao que vale o campo de posição: as coordenadas são guardadas como três números racionais — graus, minutos e segundos — e o campo dos segundos leva frações. Um ficheiro escrito ao centésimo de segundo de arco situa com cerca de 30 centímetros de precisão no terreno. Não é o bairro, é a divisão. Junte-lhe a marca temporal exata, guardada ao segundo, e uma fotografia de uma criança em casa é uma morada e uma rotina.

Duas formas de o tirar, e não são equivalentes

A primeira é cirúrgica: abrir o contentor, percorrer a lista de segmentos, apagar os que não quer e voltar a escrever os dados de imagem comprimidos sem lhes tocar. Nada é descodificado, nada é recodificado, e os píxeis que saem são bit a bit os que entraram. É assim que trabalha um editor de metadados, e é a abordagem certa quando a qualidade conta. A sua fraqueza é que só tira aquilo que sabe procurar: um segmento desconhecido, um bloco próprio do fabricante, um registo aninhado que não analisa, tudo isso sobrevive por omissão.

A segunda é grosseira e é a que esta ferramenta usa: descodificar a imagem para píxeis em bruto, desenhar esses píxeis sobre uma tela e pedir ao navegador que serialize a tela como um ficheiro novo. A norma do navegador descreve essa saída como uma serialização do mapa de bits da tela, e um mapa de bits não é mais do que valores de cor — não há onde guardar um número de série de câmara nem uma miniatura escondida, porque a estrutura que os continha foi deitada fora vários passos antes. É por isso que esta abordagem não pode falhar nada: não é uma lista de coisas a apagar, é uma recusa de copiar seja o que for além da imagem.

O que saiu realmente

Construímos um ficheiro que transportava tudo isso e passámo-lo pelo processo. A fonte era um JPEG de 800 por 600 com cerca de 60 kilobytes, com um segmento JFIF, um bloco EXIF completo com marca, modelo, programa de edição, marca temporal, tempo de exposição, abertura, sensibilidade, número de série do corpo, modelo de objetiva e posição GPS com altitude, uma miniatura de 5628 bytes dentro desse bloco EXIF, um pacote XMP a nomear um fotógrafo e uma cidade, um registo IPTC com legenda e assinatura, um perfil de cor, e um comentário a dizer que o ficheiro era um rascunho interno que não devia ser distribuído.

A saída limpa pesava cerca de 58 kilobytes e continha quatro coisas: o segmento JFIF, um perfil de cor, as tabelas de compressão e os dados de imagem. Nada mais. Depois procurámos diretamente nos bytes exportados catorze cadeias tiradas do original: o fabricante, o modelo, o programa de edição, o número de série, o nome da objetiva, o nome do fotógrafo, a legenda, o comentário de não distribuir, os marcadores XMP, a própria palavra Exif, a marca temporal e a forma numérica das coordenadas. Não aparece nenhuma. A miniatura escondida desapareceu também: a única sequência de bytes que os dois ficheiros partilham é o cabeçalho padrão que qualquer imagem codificada por aquele navegador transporta, e para muito antes de começarem os dados de imagem da miniatura.

Uma coisa é preservada de propósito, e é a certa. Câmaras e telemóveis guardam muitas vezes a imagem na orientação do sensor e acrescentam uma etiqueta a dizer como a virar. Se apagasse a etiqueta e guardasse os píxeis, toda a fotografia vertical sairia deitada. Testámos uma versão do ficheiro marcada como precisando de um quarto de volta: o navegador aplicou a rotação antes mesmo de a tela a ver, pelo que o ficheiro limpo mede 600 por 800 em vez de 800 por 600 e fica direito, sem etiqueta para interpretar. É exatamente o comportamento desejável e vale a pena confirmá-lo, porque as ferramentas que apagam etiquetas sem descodificar erram nisto constantemente.

Quanto custa a recodificação

O rigor paga-se em qualidade. Como a imagem é descodificada e comprimida de novo, a saída não é a imagem original: é uma nova aproximação com perdas. No nosso ficheiro de teste, uma passagem mediu 46,2 decibéis de relação sinal-ruído face à fonte, com um erro máximo de 18 em 255 num canal. Em claro, isso é invisível no ecrã e sobreviveria a uma impressão. Ainda assim não é nada de desprezar nem é gratuito: uma remoção cirúrgica de metadados daria infinito, porque não muda um único píxel.

O que há a vigiar é a repetição. A perda acumula-se, porque cada passagem parte da aproximação da anterior e não do original. Voltámos a passar o ficheiro limpo mais cinco vezes: a relação sinal-ruído face ao original caiu de 46,2 para 38,5 decibéis, e o erro máximo num canal cresceu de 18 para 53 em 255. É a diferença entre invisível e visível num céu liso ou num tom de pele. Limpe portanto uma vez, no fim da sua edição, sobre o ficheiro que está prestes a enviar — não por hábito, e não sobre um ficheiro que ainda vai editar a seguir.

Onde falha: fotografias de iPhone, transparência e cor

A lacuna importante é o HEIC. É o formato de captura por omissão num iPhone, e os navegadores de secretária geralmente não o sabem descodificar. Metemos um ficheiro HEIC a sério e o descodificador de imagem falhou de imediato — e como a ferramenta não tem tratamento para essa falha, não acontece absolutamente nada: nenhuma imagem limpa, nenhum botão de transferência, nenhuma mensagem. Um utilizador que não saiba que o formato não é suportado concluirá com razão que a página está avariada ou, pior, não dará por isso e assumirá que o trabalho ficou feito. Converta primeiro para JPEG, ou exporte do telemóvel em JPEG em vez de partilhar a captura original.

A segunda surpresa é que a saída é sempre um JPEG, entre o que entrar. Dê-lhe um PNG e recebe um JPEG, com a extensão trocada por si. Isso é ótimo para uma fotografia e errado para tudo o que tenha transparência: o JPEG não tem canal alfa, portanto os píxeis parcialmente transparentes são achatados contra um fundo. Medimo-lo num PNG cuja metade direita era meio transparente, e os píxeis exportados voltaram totalmente opacos e muito mais escuros, compostos sobre preto. Um logótipo, uma captura de ecrã com cantos arredondados ou um recorte de produto não sobreviverá intacto. A cor recebe o mesmo tratamento: a tela trabalha no espaço sRGB padrão e o ficheiro exportado transporta o perfil sRGB do próprio navegador, escrito mesmo quando a entrada não tinha perfil nenhum — pelo que uma fotografia de gama ampla sai convertida em vez de preservada.

Por onde escapa, e quando uma captura de ecrã é a resposta certa

A fuga quase nunca é a rede social. As grandes plataformas recodificam o que se carrega, sobretudo para poupar largura de banda, e os metadados desaparecem como efeito secundário — mas isso é uma consequência da cadeia de processamento delas, não uma promessa que lhe façam, e varia consoante a plataforma e o caminho de envio. As fugas fiáveis são as rotas onde ninguém recodifica nada: um ficheiro anexado a um e-mail, uma fotografia largada numa conversa como documento e não como imagem, um envio para um fórum ou um site de anúncios que guarda o que lhe dão, um ficheiro entregue numa pen, uma imagem publicada num sítio pequeno a correr software de prateleira. Em cada um desses casos os bytes que envia são os bytes que chegam, miniatura e coordenadas incluídas.

E sim, uma captura de ecrã funciona mesmo — para uma fotografia. Capturar o ecrã produz um ficheiro novo feito apenas dos píxeis visíveis, sem nenhum dos blocos originais agarrados, e leva dois segundos. Também deita fora resolução, já que captura a imagem no tamanho em que estava a ser mostrada e não no seu tamanho nativo, e não escala: duzentas fotografias de férias são duzentas operações manuais e uma pasta de cópias do tamanho do ecrã. É essa a fronteira honesta entre as duas respostas. Uma imagem, e o mais rápido que também está certo é uma captura de ecrã. Mais do que um punhado, e quer uma ferramenta que faça o mesmo trabalho sobre o lote inteiro sem que esteja a ver.

Perguntas frequentes

Remove mesmo a posição GPS?

Sim. As coordenadas GPS vivem num subdiretório do bloco EXIF, e o bloco EXIF não é editado: é deitado fora com todo o contentor original quando os píxeis são recodificados. No nosso teste a fonte continha latitude, longitude e altitude; procurar a forma numérica desses valores no ficheiro limpo não devolve nada, tal como procurar a própria palavra Exif. Nada relativo à localização pode sobreviver a um processo que só copia valores de cor.

A miniatura escondida sobrevive?

Não — e vale a pena verificar, porque é aí que outras ferramentas falham. Um limpador que edita etiquetas no lugar pode deixar a miniatura intacta, e essa miniatura pode mostrar a cena antes de recortar ou tapar alguma coisa. Aqui a miniatura não pode sobreviver: vive dentro do bloco EXIF, e o bloco EXIF nunca é copiado. Confirmámo-lo comparando os dois ficheiros byte a byte — a sequência comum mais longa é o cabeçalho padrão que qualquer imagem daquele navegador transporta, e acaba antes de onde começariam os dados de imagem da miniatura.

Limpar faz perder qualidade de imagem?

Um pouco, e só uma vez se a usar uma vez. A ferramenta descodifica a fotografia e comprime-a de novo, portanto a saída é uma nova versão com perdas. Medido face à nossa fonte, uma única passagem deu 46,2 decibéis de relação sinal-ruído com um erro máximo de 18 em 255 num canal — invisível numa visualização normal. As passagens repetidas acumulam-se: ao fim de seis, a relação tinha caído para 38,5 decibéis e o erro máximo subido para 53. Limpe uma vez, sobre a cópia que vai enviar, e guarde o seu original intacto noutro lado.

Carreguei uma fotografia do meu iPhone e não aconteceu nada. Porquê?

Quase de certeza porque o ficheiro é um HEIC, que é o que um iPhone capta por omissão e que os navegadores de secretária geralmente não sabem descodificar. Reproduzimo-lo com um ficheiro HEIC a sério: o descodificador falha, e a ferramenta não tem tratamento para essa falha, pelo que a página simplesmente não faz nada — nem imagem, nem transferência, nem erro. Converta primeiro o ficheiro para JPEG, ou mude a definição da câmara para que o telemóvel capte no formato mais compatível, ou partilhe a fotografia através de uma aplicação que converta ao exportar.

Como verifico eu próprio que um ficheiro está limpo?

Não confie no painel de informações de ficheiro do seu sistema: mostra uma seleção de campos, não tudo o que está presente, e um bloco que não perceba simplesmente não aparecerá. Duas verificações melhores: abra o ficheiro num visualizador de metadados que liste os segmentos em bruto em vez de etiquetas simpáticas, ou compare tamanhos, porque uma fotografia que encolhe visivelmente depois de limpa transportava uma miniatura escondida. E confirme o que enviou realmente e não o que limpou — o ficheiro que sai da sua máquina é o que conta, e as aplicações de mensagens às vezes recodificam ou reanexam pelo caminho.