Cifrar vs proteger con contraseña: qué hacen realmente Protect y Unlock
Proteger un PDF es cifrarlo con una contraseña de apertura. Protect la añade; Unlock la quita cuando la conoces. Ninguno recupera una contraseña olvidada.
La gente dice «proteger con contraseña un PDF» y «cifrar un PDF» como si fueran productos distintos. En el formato PDF son la misma familia de mecanismos: el archivo lleva un diccionario /Encrypt y los visores necesitan una contraseña (o credenciales equivalentes) antes de entregarte el contenido de las páginas en claro.
Qué significa de verdad «proteger con contraseña»
Un PDF protegido no es solo un bloqueo de interfaz en una aplicación. Los lectores conformes al estándar se niegan a abrir el documento hasta recibir la contraseña de apertura correcta. Eso es cifrado del contenido del archivo, con una clave tal que la contraseña sea imprescindible para descifrarlo.
Proteger PDF (POST /api/v1/security/add-password) toma una contraseña que eliges y devuelve un archivo cifrado que la pide al abrirse. El formulario del portal pide un único campo de contraseña. El servidor cifra con qpdf (--encrypt) y usa ese valor como contraseña de usuario (de apertura); si no se envía a la API una contraseña de propietario distinta, se usa la misma cadena para el rol de propietario. La longitud de clave predeterminada es de 256 bits. La herramienta no guarda tu contraseña cuando termina el procesamiento. Si la pierdes, el archivo resultante queda bloqueado.
Contraseña de usuario y contraseña de propietario
El cifrado de PDF distingue históricamente dos roles:
- Contraseña de usuario (de apertura): necesaria para abrir y ver el documento.
- Contraseña de propietario (de permisos): se usa a menudo para fijar restricciones de impresión o modificación sin impedir que alguien abra el archivo con la contraseña de usuario (o con una contraseña de apertura vacía, según cómo se creara el archivo).
Son conceptos del formato, no etiquetas de marketing. Muchos flujos cotidianos de «bloquear este PDF» solo fijan una contraseña de apertura. Restringir la impresión o la edición sin bloquear la apertura es un asunto de permisos que usa el rol de propietario, y es fácil confundirlo con «el archivo no abre».
En PDF123, el formulario Protect pide una contraseña y la trata como la contraseña de apertura necesaria para ver el archivo. Unlock necesita esa misma contraseña conocida para descifrarlo. Quien llame a la API desde código puede pasar ownerPassword, keyLength, canPrint y canModify en add-password; el formulario del navegador no expone esos controles.
Qué hace Unlock (y qué no)
Quitar contraseña (POST /api/v1/security/remove-password) elimina el cifrado por contraseña existente cuando aportas la contraseña actual correcta. Las páginas, las fuentes y la maquetación no cambian; solo desaparece la exigencia de cifrado.
No recupera, adivina ni descifra por fuerza bruta una contraseña olvidada. Si no conoces ya la contraseña, Unlock no la va a inventar. Repair tampoco elimina el cifrado: que Get Info indique Encrypted: true significa que hay que desbloquear primero y editar después.
Cuándo usar cada uno
| Objetivo | Herramienta |
|---|---|
| Exigir una contraseña para abrir antes de enviar o compartir | Proteger |
| Ya conoces la contraseña y quieres una copia que se abra sin más | Desbloquear |
| Has olvidado la contraseña | Ninguna de las dos ayuda; guarda las contraseñas fuera del PDF |
| El archivo no abre por motivos estructurales (no cifrado) | Reparar / Get Info, no Unlock |
Protect y Unlock se ejecutan en el servidor y no piden cuenta en la ruta del catálogo. Cifrar no reduce el tamaño del archivo: Comprimir es una tarea aparte de recompresión de streams y sigue necesitando un PDF desbloqueado (o que nunca se haya cifrado). El OCR, la exportación de tablas y casi todas las operaciones de edición también necesitan acceso en claro primero: desbloquea con la contraseña conocida y luego usa la otra herramienta.
Guarda las contraseñas fuera del PDF (un gestor de contraseñas o un almacén de secretos). Poner la contraseña de apertura en el mismo correo que el adjunto anula la protección. Para las mismas tareas por HTTP, consulta Desarrolladores.