La nómina que le mandas a la gestoría, el escaneo del DNI para el alquiler del piso, la factura de 1.200 € que sale hacia un cliente, el CFDI que te pide el contador en México: casi todo el papeleo de oficina viaja hoy en PDF y por correo. Ponerle contraseña a esos archivos debería ser un paso de diez segundos, no un trámite más. Aquí lo es. Sueltas el PDF, eliges una contraseña y descargas la copia cifrada con AES-256. El archivo no sale de tu ordenador en ningún momento, ni siquiera para cifrarse.
¿Qué hace realmente ponerle contraseña a un PDF?
Lo desordena de forma que no se pueda leer sin la contraseña. Proteger PDF toma un PDF, te pide una contraseña dos veces y te devuelve el mismo documento cifrado con AES-256. Ábrelo donde quieras y el lector te pedirá la contraseña antes de mostrar una sola página. Sin ella, el archivo es ruido.
Parece obvio, pero «proteger un PDF con contraseña» abarca dos cosas muy distintas, y casi toda la confusión empieza aquí. Un PDF puede llevar dos tipos de contraseña:
- Una contraseña de apertura (la especificación la llama contraseña de usuario). El contenido está cifrado. Sin contraseña, no hay documento. Esto sí es protección.
- Una contraseña de propietario sin contraseña de apertura. Cualquiera puede abrir y leer el archivo. Solo lleva marcas que dicen «por favor, no imprimas» o «por favor, no copies». Cada lector decide si las respeta, y muchos no lo hacen.
Esta herramienta hace lo primero y solo lo primero. Dejamos fuera lo segundo a propósito. Una marca de «no imprimir» en un archivo legible es una petición educada, y nuestra propia herramienta Desbloquear PDF la quita en un clic. Llamar a eso seguridad sería mentir, así que no lo ofrecemos.
Todo ocurre en tu navegador. El archivo se lee de tu disco, se cifra en tu equipo y se escribe de vuelta como descarga. No se sube nada, y no hay cuenta ni límite diario. Usarla no cuesta nada.
Cómo poner contraseña a un PDF
Son cuatro pasos y unos treinta segundos. La interfaz de la herramienta está en inglés, así que te indicamos los botones tal como aparecen:
- Suelta el PDF en el recuadro, o haz clic y elige uno. Hasta 100 MB y cualquier número de páginas.
- Escribe una contraseña y repítela en «Confirm password». El botón «Show» te enseña lo que has escrito, por si quieres comprobarlo.
- Pulsa Protect PDF o la tecla Intro. El botón sigue en gris hasta que las dos contraseñas coinciden.
- Pulsa Download protected PDF. El archivo conserva su nombre con
-protectedal final.
Ese es todo el proceso. Sin tour de bienvenida, sin página de ajustes, sin cinco niveles de cifrado que tendrías que investigar antes. Hay un solo nivel, y es el más fuerte que tiene el formato.
Cómo funciona el cifrado de PDF
El formato PDF ha pasado por cinco esquemas de cifrado desde 1996, y los antiguos nunca desaparecieron. Un lector todavía tiene que abrir archivos de 2001, así que las herramientas todavía pueden escribir cifrado de nivel 2001. Algunas herramientas rápidas lo hacen. Este es el repaso:
| Esquema | Clave | Llegó con | Situación actual |
|---|---|---|---|
| RC4, revisión 2 | 40 bits | PDF 1.1 (1996) | Roto. Un portátil recupera la clave sin necesitar nunca la contraseña. |
| RC4, revisión 3 | 128 bits | PDF 1.4 (2001) | RC4 en sí se considera roto. Obsoleto en PDF 2.0. |
| AES, revisión 4 | 128 bits | PDF 1.6 (2004) | Cifrado sólido, pero un hash de contraseña rápido abarata los intentos. |
| AES, revisión 5 | 256 bits | Extensión de PDF 1.7 (2008) | Tenía un fallo que hacía los intentos demasiado rápidos. Obsoleto. |
| AES, revisión 6 | 256 bits | Extensión de PDF 1.7, estándar en PDF 2.0 (2017) | Vigente. El único esquema que escribe Proteger PDF. |
La revisión 6 arregló el punto débil de la revisión 5, que era el paso que convierte tu contraseña en una clave. Así funciona, de principio a fin.
Una clave de archivo aleatoria. El documento se cifra con una clave de 256 bits elegida al azar, no con tu contraseña. Tu contraseña solo protege esa clave.
Un hash lento para la contraseña. Tu contraseña se mezcla con una sal aleatoria y pasa por al menos 64 rondas que alternan entre SHA-256, SHA-384 y SHA-512. Cada ronda depende de la anterior, así que no hay atajo. Cada intento de un atacante tiene que pagar el proceso entero.
Cada pieza cifrada en su sitio. El flujo de contenido, las fuentes, las imágenes y las cadenas de texto de cada página se cifran por separado con AES-256 y su propio bloque inicial aleatorio de 16 bytes. Nada se convierte en imagen. Cuando entra la contraseña correcta, el lector recupera exactamente el documento con el que empezaste. El texto se selecciona y se busca, los enlaces funcionan, los formularios se rellenan.
Por qué el archivo crece un poco. Cada pieza cifrada gana su bloque inicial de 16 bytes más entre 1 y 16 bytes de relleno, es decir, entre 17 y 32 bytes por flujo o cadena. En un documento normal eso suma unos pocos kilobytes. Protege el mismo archivo dos veces con la misma contraseña y obtendrás dos archivos distintos, porque las sales y los bloques iniciales son aleatorios cada vez. Los dos se abren.
Un ejemplo práctico: proteger un informe de 12 páginas
Pongamos que tienes report.pdf, 12 páginas, unos 3,4 MB, que va para tu gestor. Lo sueltas en Proteger PDF y te muestra el nombre, el tamaño y el número de páginas. El cursor salta al campo de la contraseña.
Escribes hunter2-correct dos veces. Los dos campos coinciden, no hay avisos y el botón se activa. Lo pulsas y la tarjeta de resultado muestra 12 pages · 3.4 MB · AES-256, con una descarga llamada report-protected.pdf. Debajo hay una línea que merece la pena tomarse en serio: "Save this password somewhere. We can't recover it — nobody can." (guarda esta contraseña en algún sitio; nosotros no podemos recuperarla, nadie puede).
Ahora un segundo archivo: Signed lease.PDF, que lleva una firma digital, y una contraseña más perezosa, hunter2. La herramienta te deja protegerlo igualmente, pero antes aparecen dos avisos:
- "Short passwords can be guessed offline. 12+ characters is safer." Las contraseñas cortas se pueden adivinar sin conexión; 12 caracteres o más es más seguro. Esta tiene 7. El aviso nunca te bloquea. Solo te dice la verdad.
- "Adding a password will invalidate this PDF's digital signature." Añadir una contraseña invalida la firma digital del PDF. Una firma cubre los bytes exactos del archivo, y el cifrado los cambia todos.
La descarga sale como Signed lease-protected.pdf. La extensión en mayúsculas .PDF se gestiona bien, y el espacio del nombre se conserva.
Si el campo de confirmación dice hunter2-corect (le falta una r), el botón sigue apagado y aparece "The passwords don't match. Retype the second one.", es decir, que las contraseñas no coinciden y hay que volver a escribir la segunda. Mientras lo que llevas en la confirmación coincida con el principio de la contraseña, la herramienta no dice nada. No te va a lanzar un error a mitad del segundo campo.
Cómo elegir una contraseña que aguante
AES-256 no será el punto débil. Tu contraseña sí. En cuanto alguien tiene una copia del archivo, puede probar contraseñas sin conexión tan rápido como le permita su hardware. Nada lo bloquea tras tres intentos y nada registra los intentos. Así que la única defensa es cuántas contraseñas tendría que probar.
Para verlo en números, imagina un atacante capaz de probar mil millones de contraseñas por segundo. Es generoso, dado lo lento que es el hash de la revisión 6, pero deja las cuentas sencillas:
| Tipo de contraseña | Contraseñas posibles | Tiempo para probarlas todas a mil millones/s |
|---|---|---|
| 8 letras minúsculas | unos 209.000 millones | unos 3,5 minutos |
| 12 letras minúsculas | unos 95.000 billones | unos 3 años |
| 12 caracteres de todo el teclado (94 símbolos) | unos 476.000 trillones | unos 15 millones de años |
Por eso existe el aviso de los 12 caracteres. Las contraseñas reales salen peor que la tabla, porque la gente elige palabras, nombres y años, y los atacantes prueban eso primero. verano2024 cae mucho antes que unas letras al azar. Para algo que tenga que aguantar, deja que el Generador de contraseñas la cree y guárdala en un gestor de contraseñas.
Las contraseñas con caracteres propios del español son bienvenidas. contraseña-2026 funciona, y también el cirílico, el griego, el chino y los emojis. Hay dos límites, y existen para que el archivo se abra igual en todos los lectores:
- 127 bytes, no 127 caracteres. El formato limita la contraseña a 127 bytes de UTF-8. Una letra simple ocupa 1 byte, la
ñocupa 2 y un carácter chino ocupa 3. Así que 42 caracteres chinos (126 bytes) valen y 43 (129 bytes) se rechazan. Algunos lectores recortan en silencio una contraseña larga, y entonces la que escribiste no abriría el archivo. Preferimos rechazarla antes que recortarla a tus espaldas. - Nada de caracteres parecidos o invisibles. Letras de ancho completo como
ｐａｓｓｗｏｒｄ１２３, un espacio de no separación, un espacio de ancho cero, la ligadurafi: algunos lectores los reescriben antes de comprobar la contraseña y otros no. La misma contraseña abriría el archivo en un lector y fallaría en otro. La herramienta los detecta y te pide caracteres estándar.
Por qué esto funciona en tu equipo y no en un servidor
La forma habitual de proteger un PDF con contraseña en internet es esta: subes el archivo confidencial al servidor de un desconocido para que el desconocido lo haga confidencial, y luego lo vuelves a descargar. Es empezar la casa por el tejado. El momento en que quieres cifrado es justo el momento en que no deberías entregarle el archivo sin cifrar a nadie.
El resto del patrón ya te lo sabes. Dos tareas al día y luego un muro de pago. Un registro obligatorio antes de la descarga. Una suscripción mensual de escritorio, cobrada por usuario, vendida a gente que necesitaba poner contraseña a un solo archivo. Una prueba de catorce días que acaba en cargo. Ponerle contraseña a un PDF son unos cientos de líneas de criptografía que cualquier navegador moderno ejecuta en uno o dos segundos. No hace falta un contrato.
Proteger PDF es la herramienta completa, no el anzuelo de una versión de pago. No hay versión Pro. Funciona igual si eres autónomo y envías una factura, si eres madre o padre y mandas un pasaporte escaneado, o si trabajas en una empresa enorme y proteges una exportación de hoja de cálculo un viernes por la tarde. Y el 10 % de lo que ingresa Microapp va a causas benéficas, antes de todo lo demás, con auditoría trimestral.
Compruébalo tú mismo. Abre las herramientas de desarrollo del navegador en la pestaña Red y protege un archivo. Ninguna petición lleva tu PDF ni tu contraseña. O carga la página, apaga el wifi y protege un archivo igualmente. Sigue funcionando.
Errores comunes al proteger un PDF
Enviar la contraseña junto con el archivo. Un PDF protegido y su contraseña en el mismo correo están a un buzón robado de convertirse en un PDF legible. Envía el archivo por correo y la contraseña por SMS, WhatsApp o una llamada. Canal distinto, siempre.
Perder la contraseña. No hay clave de recuperación, ni correo para restablecerla, ni puerta trasera, y nosotros nunca vemos tu contraseña. Si se pierde, se pierde el archivo. Guarda el original sin proteger en un sitio seguro y apunta la contraseña antes de enviar nada.
Proteger un archivo que ya está protegido. La herramienta se niega y te manda a Desbloquear PDF. No pone un segundo candado encima del primero. Para cambiar la contraseña, quita allí la antigua y trae la copia de vuelta aquí.
Hacer los demás trabajos después. Una vez cifrado un PDF, otras herramientas no pueden leer su interior. Las nuestras tampoco. Así que haz todo lo demás antes: tapa lo delicado con Redactar PDF, pon un sello de CONFIDENCIAL con Marca de agua en PDF, une archivos con Unir PDF, reduce escaneos con Comprimir PDF. Proteger, lo último.
Fiarse de la contraseña en vez de tachar. Una contraseña protege el archivo de quien no la tiene. No hace nada frente a las personas a las que se la das. Si una página contiene algo que el destinatario no debe ver, táchalo antes de proteger el archivo.
Preguntas frecuentes
¿Cómo envío por correo un PDF con contraseña?
Adjunta el archivo protegido al correo como cualquier otro adjunto. Luego envía la contraseña por otro lado: un SMS, una llamada, una app de mensajería. La mayoría de los sistemas de correo no pueden analizar el interior de un PDF cifrado, así que algunos filtros corporativos lo retienen para revisarlo. Si no llega, pídele al destinatario que mire la cuarentena antes de volver a intentarlo.
¿La contraseña hace más grande el PDF?
Un poco. Cada flujo y cada cadena cifrados ganan entre 17 y 32 bytes, por un bloque inicial aleatorio más el relleno. Un documento típico crece unos pocos kilobytes. No se redibuja ni se recomprime nada, así que se queda cerca del tamaño original. Las herramientas que convierten cada página en una imagen no pueden decir lo mismo. Si el tamaño importa, usa Comprimir PDF antes de protegerlo, no después.
¿Puedo proteger un PDF con contraseña desde el móvil?
Sí. Es una página web, así que funciona en el navegador del móvil igual que en un portátil. Toca el recuadro, elige el PDF de tus archivos, escribe la contraseña dos veces y guarda la descarga. Nada que instalar, y el archivo sigue sin salir del teléfono.
¿Alguien puede quitar la contraseña sin saberla?
No por ningún método práctico, si la contraseña es buena. Quitar una contraseña de apertura requiere la contraseña. Por eso Desbloquear PDF te la pide. La única forma de entrar sin ella es adivinarla, y por eso la longitud importa tanto. Una contraseña aleatoria de 12 caracteres está fuera de alcance. El nombre de tu mascota más un año, no.
¿Debo usar la misma contraseña para todos los PDF que envío?
Mejor que no. En cuanto un destinatario la conoce, puede abrir todos los archivos que hayas protegido con ella, incluidos los que eran para otra persona. Dale a cada destinatario, o a cada lote de documentos, su propia contraseña. Un generador y un gestor de contraseñas lo hacen sencillo.
¿Un PDF con contraseña es lo mismo que uno tachado?
No, y confundirlos es un error común y caro. La protección oculta el archivo entero a quien no tiene la contraseña. El tachado elimina para siempre el contenido elegido del archivo, para todo el mundo. Quien tenga la contraseña ve todo lo que no esté tachado. Si una página contiene un dato que el destinatario no debe ver, táchalo primero y luego protege el resultado.