Forense de documentos

Una comprobación de forense de documentos lee lo que un archivo lleva más allá de su contenido visible: quién dice los metadatos que lo escribió, qué herramienta lo produjo, cuándo afirman sus marcas de tiempo que cambió, qué revisiones anteriores, archivos incrustados o texto invisible siguen dentro. Deja un PDF, PNG o JPEG abajo y esta página informa de esos datos localmente, en tu navegador, cada uno con los valores concretos de los que se leyó. Dos límites por adelantado: el archivo nunca se sube — se analiza en este dispositivo y en ningún otro sitio — y esta herramienta informa de hechos, no de veredictos: la evidencia estructural no puede probar quién creó un archivo, así que aquí no hay puntuación ni juicio de autoría. El artículo complementario, metadatos PDF y datos ocultos, explica dónde se esconde cada tipo de dato y cómo ocurrieron filtraciones reales; el comprobador de accesibilidad PDF cubre la estructura de lectura de un PDF, y el inspector binario cubre los archivos ejecutables.

Última actualización:

O suelta el archivo en cualquier parte de este cuadro. El archivo se lee en este dispositivo y nunca se sube. Límite: 20 MB.

Hechos, no veredictos — lo que esta página no puede decirte

Los metadatos son testimonio, no prueba. Un campo de autor dice lo que un programa escribió en el archivo, y cualquiera de estos valores puede editarse, copiarse de otro documento o quedar de una plantilla — así que un nombre familiar en los metadatos no prueba que esa persona creara el archivo, y un nombre de herramienta desconocido no prueba nada sobre cómo se hizo el contenido. En particular, la evidencia estructural no puede probar la autoría, y esta página no afirma nada sobre si el contenido lo produjo una persona o un programa: informa de los valores presentes, las revisiones que sobreviven y las marcas de tiempo que se contradicen, y te deja la interpretación a ti. Trata cada hallazgo como una pista por verificar, no como una conclusión.

Qué informa esta herramienta

  • Campos del diccionario de información del PDF — título, autor, creador, productor y ambas fechas — citados textualmente como evidencia.
  • El paquete de metadatos XMP, cuando está presente, con su título, productor y fechas de creación y modificación extraídos.
  • La estructura de actualizaciones incrementales: cuántos marcadores %%EOF y secciones startxref lleva el archivo, y la profundidad de la cadena de tráileres /Prev.
  • Indicadores de archivos incrustados, texto oculto pintado con el modo de renderizado 3 y la marca de cifrado.
  • Inventario de bloques PNG con los bloques de texto decodificados y la marca de tiempo tIME; inventario de segmentos JPEG con campos JFIF, Exif y XMP y el texto de los comentarios — más cualquier byte que sobre tras el marcador de fin en ambos formatos.

Lo que un documento lleva además de su contenido

Cada formato de documento aquí incluido es un contenedor, no solo una imagen del contenido. Un PDF lleva un diccionario de información — título, autor, creador, productor y dos fechas — escrito por la aplicación que lo exportó, normalmente sin que el autor del documento lo haya visto nunca. Junto a él, la mayoría de los productores modernos incrustan un paquete XMP: un bloque de metadatos XML que puede repetir los mismos campos, añadir una herramienta creadora o discrepar en silencio del diccionario de información. Las imágenes PNG llevan bloques con nombre, algunos de los cuales guardan texto libre — nombres de programas, comentarios, líneas de copyright, a veces documentos XML enteros — y las fotos JPEG llevan bloques Exif escritos por la cámara: marca, modelo, la fecha en que se disparó el obturador y el programa que tocó el archivo por última vez. Nada de esto se ve al abrir el documento con normalidad, y todo viaja con el archivo cuando se publica, se envía por correo o se presenta en un juzgado.

Los PDF tienen una segunda capa, más profunda: las actualizaciones incrementales. El formato PDF se diseñó para que un editor pudiera guardar un cambio añadiendo una nueva revisión al final del archivo en lugar de reescribirlo, dejando los bytes anteriores — incluida la versión anterior de un párrafo — físicamente presentes y legibles. Un archivo con varios marcadores %%EOF se ha guardado así varias veces, y cualquier cosa “borrada” en una revisión posterior puede seguir recuperándose de una anterior. Ese mecanismo es legítimo y útil para firmas y guardados rápidos, pero también es la razón por la que la censura ingenua falla: cubrir un párrafo con un rectángulo negro, o incluso borrar el texto en un editor que luego guarda de forma incremental, puede dejar las palabras originales en el archivo para cualquiera que mire. Esta página cuenta los marcadores de fin de archivo y la cadena de tráileres para que veas si el archivo que tienes delante tiene un pasado.

La misma lógica de contenedor explica las demás comprobaciones. Un PDF puede llevar archivos incrustados — adjuntos completos almacenados dentro del documento, listados en su árbol de nombres de archivos incrustados — que un lector puede no notar nunca pero un destinatario sí puede extraer. También puede llevar texto oculto: el texto PDF se pinta con un modo de renderizado, y el modo 3 no pinta nada a la vez que deja los caracteres en el flujo de contenido, copiables y buscables pero invisibles en la página — un lugar clásico para el texto que debía eliminarse y, a veces, para el texto que nunca debía verse. Los archivos PNG y JPEG tienen su propia versión de la misma historia: los bytes añadidos después del marcador de fin los ignora cualquier visor, pero permanecen en el archivo, y los bloques de texto y los segmentos de comentario suelen sobrevivir a la sesión de edición que los escribió.

Las marcas de tiempo son donde los documentos se contradicen. Un PDF guarda al menos dos fechas en su diccionario de información y a menudo dos más en su paquete XMP, escritas por herramientas distintas en momentos distintos: el exportador, el editor, el optimizador que lo recomprimió al subirlo. Cuando la fecha de creación queda después de la de modificación, cuando las fechas XMP discrepan del diccionario de información o cuando una fecha cae en el futuro, algo en la cadena no contó una historia coherente: un reloj estaba mal, un campo se editó o el archivo se montó con piezas de historias distintas. Ninguna de esas explicaciones es automáticamente siniestra, y esta página no elige entre ellas: muestra ambos valores lado a lado para que la incoherencia se vea en lugar de quedar enterrada. Lo mismo vale para la fecha Exif de una cámara y el bloque de última modificación de un PNG: una marca de tiempo es una afirmación que hace el archivo, y contrastar afirmaciones es todo lo que hace esta herramienta.

Usa los resultados antes de publicar, no después de que lo haga otro. Pasa los informes internos, las capturas y las fotos por una comprobación como esta y lee lo que se filtraría con ellos: nombres de autor y de usuario, nombres de herramientas internas, las fechas originales, los adjuntos que olvidaste, la revisión que aún guarda el párrafo que el departamento legal eliminó. La limpieza pasa a ser entonces un paso deliberado — reexportar desde el origen con los metadatos eliminados, aplanar y reescribir el archivo por completo en lugar de guardarlo de forma incremental — y volver a comprobar la copia que realmente envías. Y mantén a la vista el límite de honestidad en todo momento: un resultado limpio significa que no se encontraron sorpresas estructurales en los lugares que esta página mira; no certifica el origen de un documento, y un resultado sorprendente es una pregunta que hacer, no una acusación que lanzar.

Preguntas frecuentes

¿Mi archivo se sube a algún sitio?

No. El archivo se abre y se analiza en esta página, en tu dispositivo, y nada se sube, se transmite ni se almacena. Analizar un archivo no hace ninguna petición de red, así que la página funciona sin conexión una vez cargada — lo cual importa, porque los documentos que más vale la pena comprobar son exactamente los que no deberías enviar al servidor de un desconocido.

¿Puede esta herramienta decirme quién creó un archivo, o si lo hizo una IA?

No — y desconfía de cualquier herramienta que afirme lo contrario. Los campos de metadatos son texto que un programa escribió en el archivo; pueden editarse, heredarse de una plantilla o copiarse de otro documento, así que son testimonio, no prueba. La evidencia estructural no puede establecer la autoría. Esta página informa de los valores presentes y de los lugares donde un archivo se contradice, y deja las preguntas de autoría a la evidencia que sí puede responderlas.

¿Qué es una actualización incremental y por qué importa?

Los editores de PDF pueden guardar cambios añadiendo una nueva revisión en lugar de reescribir el archivo. Cada guardado deja un marcador %%EOF, así que varios marcadores significan varias revisiones añadidas — y las revisiones anteriores siguen siendo legibles en los bytes, incluido el contenido que las posteriores parecen borrar. Por eso cubrir texto con un rectángulo o borrarlo en un guardado incremental no lo saca del archivo. Una reescritura completa o una reexportación es lo que realmente descarta los bytes antiguos.

Encontré texto oculto en un PDF. ¿Significa que alguien hizo trampa?

No por sí solo. El texto pintado con el modo de renderizado 3 es invisible pero está presente, y hay razones legítimas para ello: las capas de OCR se sitúan detrás de las imágenes de páginas escaneadas para que la página se pueda buscar y copiar, y algunos productores emiten texto invisible para indexar. Se convierte en un problema cuando el texto invisible debía haber desaparecido: un nombre censurado que sigue siendo copiable es una filtración, fuera cual fuera la intención. Lee el hallazgo como “mira aquí”, no como un veredicto.

¿Cómo elimino estos metadatos antes de publicar?

Trabaja en el origen cuando puedas: borra las propiedades del documento en la herramienta de autoría, exporta con las opciones de metadatos desactivadas y, para los PDF, prefiere una reescritura completa — imprimir a PDF o un limpiador dedicado — a un guardado incremental. Para las imágenes, reexporta con una herramienta que elimine el Exif y los bloques de texto en lugar de editarlos in situ. Después pasa la copia limpia por esta página otra vez y confirma que los hallazgos que te importaban han desaparecido de verdad.