Jornalistas: gerir documentos confidenciais e fontes em privado

Uma fonte passa-te um PDF. Talvez seja um memorando interno, um contrato que alguém não deveria ter guardado, a digitalização de um documento que prova aquilo que andas a perseguir há meses. O teu trabalho agora é lê-lo, trabalhar com ele, guardá-lo em segurança e nunca deixar que nada do que fazes leve de volta à pessoa que to deu.

Essa última parte é a difícil. A reportagem pode ser sólida e a história pode ser à prova de bala, e mesmo assim uma fonte pode ser identificada por um pormenor em que ninguém pensou. Um campo de propriedades do documento com um nome de utilizador. Um histórico de revisões. Um ficheiro que silenciosamente subiu a um servidor que te esqueceste que o estava a processar. A proteção de fontes não é só sobre com quem falas. É sobre o que os próprios ficheiros revelam.

O carregamento é a fuga que não vês

Digamos que tens um PDF vazado e que chegou em três partes, ou as digitalizações estão na ordem errada, ou queres bloqueá-lo antes de o colocares num armazenamento partilhado. Então procuras uma ferramenta gratuita, arrastas o ficheiro e clicas no botão. A maioria dos sites de PDF funciona enviando o teu ficheiro para um servidor, fazendo o trabalho lá, e devolvendo-te o resultado.

Para um itinerário de férias, tudo bem. Para um documento que uma fonte arriscou a carreira para te entregar, acabaste de colocar uma cópia dele numa máquina pertencente a uma empresa com quem nunca falaste. Não sabes onde fica esse servidor, a que jurisdição responde, a quem pode ser apresentado um pedido pelos seus registos, ou quanto tempo o ficheiro realmente lá fica depois da animada mensagem “eliminado ao fim de uma hora”. Se esse documento é suficientemente sensível para que um governo ou uma equipa jurídica de uma empresa queira saber quem o vazou, cada cópia que existe fora do teu controlo é um fio de que alguém pode puxar.

O ficheiro pode também carregar a resposta dentro de si. Os PDF guardam metadados: nome do autor, o software que o criou, datas de criação e modificação, por vezes o caminho de rede a partir do qual foi gravado. Um documento interno vazado pode conter o nome de utilizador da última pessoa que lhe tocou. Envia esse PDF para uma ferramenta web qualquer e entregaste ao servidor de um estranho um ficheiro que talvez já nomeie a tua fonte.

Trabalha nele sem que saia do teu portátil

A solução é simples de enunciar. Não carregues o documento para nenhum sítio que não consigas ver. Se o ficheiro nunca sai da tua máquina, não pode ser retirado de um servidor noutro sítio, e não pode ficar num backup à espera de uma intimação.

As ferramentas que correm no navegador tornam isto prático. O PDF é lido para a memória no teu próprio computador, a operação corre lá, e o ficheiro terminado é gravado diretamente de volta para ti. Nada é enviado. Aqui está como costuma decorrer o processo.

Combina as partes. As fugas raramente chegam arrumadas. Recebes um memorando, três anexos e uma nota de capa como ficheiros separados. Larga-os na ferramenta Juntar PDF e ficas com um único documento com que consegues realmente trabalhar, sem enviar nada para um site de conversão.

Bloqueia-o antes de o guardares. Depois de teres o ficheiro de que precisas, protege-o com uma palavra-passe antes de ir para discos partilhados ou para um portátil que viaja. A ferramenta Proteger PDF encripta-o no teu navegador, por isso o documento fica ilegível para quem obtenha o ficheiro mas não a palavra-passe. Isso conta se um dispositivo for apreendido, perdido ou agarrado numa fronteira.

Abre ficheiros que uma fonte já bloqueou. Por vezes o documento chega encriptado e tens a palavra-passe da tua fonte. A ferramenta Desbloquear PDF remove a proteção localmente para que possas lê-lo e trabalhar com ele, novamente sem que o ficheiro toque num servidor. Usa isto apenas em documentos que estás autorizado a abrir.

Remove os metadados que nomeiam pessoas

Antes de publicares um documento ou de o partilhares com um colega, limpa o que está escondido lá dentro. Voltar a gravar um PDF através de uma ferramenta local reescreve o ficheiro e deixa cair a maioria das propriedades embebidas que vieram com o original: campos de autor, etiquetas do software de edição, as datas que colocam uma pessoa a uma secretária numa tarde específica. Abre o ficheiro, passa-o por uma operação no navegador, exporta a cópia limpa, e verifica as propriedades do documento para confirmar que os campos reveladores desapareceram. Faz isto na versão que sai das tuas mãos, nunca na tua única cópia do original.

Prova a ti próprio que nada foi carregado

Não tens de confiar em mim que estas ferramentas ficam locais. Abre uma, carrega em F12 para as DevTools, vai ao separador Network, marca “Preserve log”, e executa uma operação completa. Observa o tráfego: a página carrega no início, e depois nada se move enquanto trabalhas. Se o teu ficheiro nunca aparecer no corpo de um pedido, nunca foi enviado.

Queres o teste mais exigente? Carrega a ferramenta, muda para o modo de avião, e faz o trabalho todo com a rede desligada. Continua a funcionar, porque nunca houve um passo de servidor para começar. Uma ferramenta que carrega vai dar erro no segundo em que carregas em iniciar. Essa diferença é exatamente aquilo de que depende a segurança da tua fonte. (Se quiseres o ângulo legal sobre por que razão os carregamentos são uma exposição, escrevi sobre os riscos de RGPD de carregar PDF à parte.)

Faz da forma segura a opção por defeito

Não vais auditar uma política de privacidade à meia-noite num dia de fecho. Ninguém o faz. Por isso decide de uma vez: os documentos de fontes são geridos no navegador, bloqueados antes de serem guardados, e limpos antes de saírem das tuas mãos. Marca as ferramentas nos favoritos e deixa de enviar ficheiros sensíveis para servidores que não consegues vigiar. A tua fonte confiou-te algo que lhe podia custar tudo. O mínimo que os ficheiros podem fazer é manter essa confiança em vez de a entregar.