Forense de Documentos

Uma verificação de forense de documentos lê o que um ficheiro transporta para além do seu conteúdo visível: quem os metadados dizem que o escreveu, que ferramenta o produziu, quando os seus carimbos de tempo afirmam que mudou, que revisões anteriores, ficheiros incorporados ou texto invisível ainda estão dentro dele. Deixe um PDF, PNG ou JPEG abaixo e esta página relata esses factos localmente, no seu navegador, cada um com os valores concretos de onde foi lido. Dois limites desde já: o ficheiro nunca é enviado — é analisado neste dispositivo e em mais lado nenhum — e esta ferramenta relata factos, não vereditos: a evidência estrutural não pode provar quem criou um ficheiro, por isso aqui não há pontuação nem julgamento de autoria. O artigo complementar, metadados PDF e dados ocultos, explica onde cada tipo de dado se esconde e como aconteceram fugas reais; o verificador de acessibilidade de PDF cobre a estrutura de leitura de um PDF, e o inspetor binário cobre os ficheiros executáveis.

Última atualização:

Ou largue o ficheiro em qualquer parte desta caixa. O ficheiro é lido neste dispositivo e nunca é enviado. Limite: 20 MB.

Factos, não vereditos — o que esta página não lhe pode dizer

Os metadados são testemunho, não prova. Um campo de autor diz o que um programa escreveu no ficheiro, e qualquer um destes valores pode ser editado, copiado de outro documento ou herdado de um modelo — por isso um nome familiar nos metadados não prova que essa pessoa criou o ficheiro, e um nome de ferramenta desconhecido não prova nada sobre como o conteúdo foi feito. Em particular, a evidência estrutural não pode provar a autoria, e esta página não afirma nada sobre se o conteúdo foi produzido por uma pessoa ou por software: relata os valores presentes, as revisões que sobrevivem e os carimbos de tempo que se contradizem, e deixa a interpretação para si. Trate cada descoberta como uma pista a verificar, não como uma conclusão.

O que esta ferramenta relata

  • Campos do dicionário de informações do PDF — título, autor, criador, produtor e ambas as datas — citados textualmente como evidência.
  • O pacote de metadados XMP, quando presente, com o seu título, produtor e datas de criação e modificação extraídos.
  • A estrutura de atualizações incrementais: quantos marcadores %%EOF e secções startxref o ficheiro transporta, e a profundidade da cadeia de trailers /Prev.
  • Indicadores de ficheiros incorporados, texto oculto pintado com o modo de renderização 3 e a marca de encriptação.
  • Inventário de blocos PNG com os blocos de texto descodificados e o carimbo de tempo tIME; inventário de segmentos JPEG com campos JFIF, Exif e XMP e o texto dos comentários — mais quaisquer bytes que sobrem após o marcador de fim em ambos os formatos.

O que um documento transporta além do seu conteúdo

Cada formato de documento aqui incluído é um contentor, não apenas uma imagem do conteúdo. Um PDF transporta um dicionário de informações — título, autor, criador, produtor e duas datas — escrito pela aplicação que o exportou, normalmente sem o autor do documento alguma vez o ter visto. Ao lado dele, a maioria dos produtores modernos incorpora um pacote XMP: um bloco de metadados XML que pode repetir os mesmos campos, acrescentar uma ferramenta criadora ou discordar silenciosamente do dicionário de informações. As imagens PNG transportam blocos com nome, alguns dos quais guardam texto livre — nomes de programas, comentários, linhas de direitos de autor, por vezes documentos XML inteiros — e as fotografias JPEG transportam blocos Exif escritos pela câmara: marca, modelo, a data em que o obturador disparou e o programa que tocou no ficheiro pela última vez. Nada disto se vê ao abrir o documento normalmente, e tudo viaja com o ficheiro quando é publicado, enviado por correio ou apresentado em tribunal.

Os PDF têm uma segunda camada, mais profunda: as atualizações incrementais. O formato PDF foi desenhado para que um editor pudesse guardar uma alteração acrescentando uma nova revisão ao fim do ficheiro em vez de o reescrever, deixando os bytes anteriores — incluindo a versão anterior de um parágrafo — fisicamente presentes e legíveis. Um ficheiro com vários marcadores %%EOF foi guardado assim várias vezes, e qualquer coisa “apagada” numa revisão posterior pode ainda ser recuperada de uma anterior. Esse mecanismo é legítimo e útil para assinaturas e guardados rápidos, mas é também a razão pela qual a ocultação ingénua falha: cobrir um parágrafo com um retângulo preto, ou até apagar o texto num editor que depois guarda de forma incremental, pode deixar as palavras originais no ficheiro para quem quiser procurar. Esta página conta os marcadores de fim de ficheiro e a cadeia de trailers para ver se o ficheiro à sua frente tem um passado.

A mesma lógica de contentor explica as outras verificações. Um PDF pode transportar ficheiros incorporados — anexos completos guardados dentro do documento, listados na sua árvore de nomes de ficheiros incorporados — que um leitor pode nunca notar mas um destinatário pode extrair. Também pode transportar texto oculto: o texto PDF é pintado com um modo de renderização, e o modo 3 não pinta nada ao mesmo tempo que deixa os caracteres no fluxo de conteúdo, copiáveis e pesquisáveis mas invisíveis na página — um lugar clássico para o texto que devia ser removido e, por vezes, para o texto que nunca devia ser visto. Os ficheiros PNG e JPEG têm a sua própria versão da mesma história: os bytes acrescentados depois do marcador de fim são ignorados por qualquer visualizador, mas permanecem no ficheiro, e os blocos de texto e os segmentos de comentário sobrevivem muitas vezes à sessão de edição que os escreveu.

Os carimbos de tempo são onde os documentos se contradizem. Um PDF guarda pelo menos duas datas no seu dicionário de informações e muitas vezes mais duas no seu pacote XMP, escritas por ferramentas diferentes em momentos diferentes: o exportador, o editor, o otimizador que o recomprimiu ao ser enviado. Quando a data de criação fica depois da de modificação, quando as datas XMP discordam do dicionário de informações ou quando uma data cai no futuro, algo na cadeia não contou uma história coerente: um relógio estava errado, um campo foi editado ou o ficheiro foi montado com peças de histórias diferentes. Nenhuma dessas explicações é automaticamente sinistra, e esta página não escolhe entre elas: mostra ambos os valores lado a lado para que a incoerência se veja em vez de ficar enterrada. O mesmo vale para a data Exif de uma câmara e o bloco de última modificação de um PNG: um carimbo de tempo é uma afirmação que o ficheiro faz, e cruzar afirmações é tudo o que esta ferramenta faz.

Use os resultados antes de publicar, não depois de outra pessoa o fazer. Passe os relatórios internos, as capturas de ecrã e as fotografias por uma verificação como esta e leia o que fugiria com eles: nomes de autor e de utilizador, nomes de ferramentas internas, as datas originais, os anexos de que se esqueceu, a revisão que ainda guarda o parágrafo que o departamento jurídico removeu. A limpeza torna-se então um passo deliberado — reexportar a partir da origem com os metadados removidos, achatar e reescrever o ficheiro por completo em vez de o guardar de forma incremental — e voltar a verificar a cópia que realmente envia. E mantenha o limite de honestidade à vista durante todo o processo: um resultado limpo significa que não foram encontradas surpresas estruturais nos lugares que esta página examina; não certifica a origem de um documento, e um resultado surpreendente é uma pergunta a fazer, não uma acusação a lançar.

Perguntas frequentes

O meu ficheiro é enviado para algum lado?

Não. O ficheiro é aberto e analisado nesta página, no seu dispositivo, e nada é enviado, transmitido ou armazenado. Analisar um ficheiro não faz nenhum pedido de rede, por isso a página funciona offline depois de carregada — o que importa, porque os documentos que mais vale a pena verificar são exactamente os que não deve enviar ao servidor de um desconhecido.

Esta ferramenta pode dizer-me quem criou um ficheiro, ou se foi feito por IA?

Não — e desconfie de qualquer ferramenta que afirme o contrário. Os campos de metadados são texto que um programa escreveu no ficheiro; podem ser editados, herdados de um modelo ou copiados de outro documento, por isso são testemunho, não prova. A evidência estrutural não pode estabelecer a autoria. Esta página relata os valores presentes e os lugares onde um ficheiro se contradiz, e deixa as perguntas de autoria para a evidência que realmente as pode responder.

O que é uma atualização incremental e por que importa?

Os editores de PDF podem guardar alterações acrescentando uma nova revisão em vez de reescrever o ficheiro. Cada guardado deixa um marcador %%EOF, por isso vários marcadores significam várias revisões acrescentadas — e as revisões anteriores continuam legíveis nos bytes, incluindo o conteúdo que as posteriores parecem apagar. É por isso que cobrir texto com um retângulo ou apagá-lo num guardado incremental não o retira do ficheiro. Uma reescrita completa ou uma reexportação é o que realmente descarta os bytes antigos.

Encontrei texto oculto num PDF. Isso significa que alguém fez batota?

Não por si só. O texto pintado com o modo de renderização 3 é invisível mas está presente, e há razões legítimas para isso: as camadas de OCR ficam atrás das imagens de páginas digitalizadas para que a página possa ser pesquisada e copiada, e alguns produtores emitem texto invisível para indexação. Torna-se um problema quando o texto invisível devia ter desaparecido: um nome ocultado que continua copiável é uma fuga, qualquer que fosse a intenção. Leia a descoberta como “veja aqui”, não como um veredito.

Como removo estes metadados antes de publicar?

Trabalhe na origem quando puder: limpe as propriedades do documento na ferramenta de autoria, exporte com as opções de metadados desligadas e, para os PDF, prefira uma reescrita completa — imprimir para PDF ou um limpador dedicado — a um guardado incremental. Para as imagens, reexporte através de uma ferramenta que remova o Exif e os blocos de texto em vez de os editar no local. Depois passe a cópia limpa por esta página outra vez e confirme que as descobertas que lhe importavam desapareceram mesmo.