Algumas ferramentas de PDF online grátis são seguras para arquivos sensíveis e outras não, e por fora elas parecem quase iguais. As seguras processam seu arquivo no navegador e nunca fazem upload dele. As arriscadas fazem upload, guardam o arquivo por um tempo que você não controla e são pagas de formas que não explicam.

Dá para diferenciar umas das outras com algumas verificações que levam cinco minutos na primeira vez e segundos depois disso. Aqui está o checklist, agrupado pelo que cada verificação revela, seguido de como pesar as respostas para diferentes tipos de documento.

Verificações 1 a 4: onde seu arquivo é processado?

Isto é o que mais importa, porque um arquivo que nunca sai do seu dispositivo não pode ser vazado, guardado nem repassado pelo site.

  • Verificação 1, o que a página da ferramenta afirma. “Funciona no seu navegador” ou “seu arquivo nunca sai do seu dispositivo” é uma afirmação específica e testável. “Seguro”, “criptografado” ou “respeitamos sua privacidade” não dizem nada sobre onde o trabalho acontece.
  • Verificação 2, uma etapa de upload. Uma barra de progresso que sobe antes de qualquer outra coisa acontecer, mesmo para um arquivo de uma página, geralmente é o arquivo viajando para um servidor.
  • Verificação 3, o teste offline. Carregue a página da ferramenta, desligue o Wi-Fi e passe um PDF de teste qualquer por ela. Se continuar funcionando, o processamento é local.
  • Verificação 4, a aba Rede, se você se sentir à vontade com ela. A próxima seção mostra como.

Como ler a aba Rede sem ser desenvolvedor

Todo navegador de computador consegue mostrar o que uma página envia. No Chrome, no Edge ou no Firefox, aperte F12 (ou clique com o botão direito na página e escolha Inspecionar) e abra a aba Rede. Deixe-a aberta enquanto solta um arquivo de teste e usa a ferramenta.

  • Ignore as coisas pequenas. Anúncios, analytics, fontes e imagens fazem requisições de poucos kilobytes. Quase todo site tem isso.
  • Olhe a coluna de tamanho. Se seu PDF de teste tem 2 MB e sai uma requisição de cerca de 2 MB quando você o solta, é o seu arquivo sendo enviado.
  • Olhe o método. Um upload normalmente é uma requisição POST ou PUT, muitas vezes para um endereço com palavras como upload, task ou process.
  • Repita no download. Alguns sites processam localmente, mas mandam o resultado de volta para um servidor para “guardar”. O download deve criar um arquivo sem que nenhuma requisição grande saia.

No celular não há uma aba Rede fácil de usar, então faça o teste offline. Carregue a ferramenta, ative o modo avião e teste um arquivo. Lembre-se de desativar depois.

Verificações 5 a 8: o que diz a política de privacidade?

Se uma ferramenta faz upload, a política de privacidade mostra o quanto isso importa. Procure na página por “arquivos”, “documentos”, “excluir” e “reter”.

  • Verificação 5, retenção. “Os arquivos são excluídos depois de uma hora” significa que eles ficaram com seu arquivo por uma hora. Veja se isso vale também para usuários gratuitos e para os backups.
  • Verificação 6, uso do seu conteúdo. Veja se os documentos podem ser usados para melhorar os serviços ou treinar sistemas. Se o texto for vago, presuma que sim.
  • Verificação 7, quem mais tem acesso. Procure a lista de operadores e provedores de hospedagem, e em que país ficam os servidores.
  • Verificação 8, um contato de verdade. Uma empresa identificada, um endereço e uma forma de pedir a exclusão são o mínimo. Não ter política nenhuma também é uma resposta.

Verificações 9 a 12: como é pago e o que pede de você?

  • Verificação 9, financiamento visível. Anúncios ou um plano pago são formas normais de pagar por uma ferramenta grátis. Quando não dá para saber de jeito nenhum como um site ganha dinheiro, tenha mais cuidado com o que entrega a ele.
  • Verificação 10, exigência de conta. Pedir que você faça login depois de terminar o trabalho, só para baixar, é sinal de que o site quer mais o seu e-mail do que você como cliente.
  • Verificação 11, instaladores e extensões. Um site de PDF que empurra um download, uma extensão de navegador ou permissão de notificações para terminar uma tarefa simples está pedindo muito mais acesso do que a tarefa precisa.
  • Verificação 12, o próprio download. O resultado deve ser um PDF. Um arquivo terminado em .exe, um .zip inesperado ou uma sequência de redirecionamentos antes do arquivo são motivo para parar.
O erro mais comum é confiar na palavra “seguro”. Um cadeado e HTTPS significam que o arquivo vai criptografado até o servidor. Não dizem nada sobre o que acontece com ele depois que chega.

O peso de cada verificação depende do documento

Você não precisa do mesmo cuidado com todos os arquivos. Um guia aproximado:

  • Baixo risco, como o cardápio de um café, um folheto público ou o panfleto de um evento da escola. Qualquer ferramenta confiável serve. As verificações 11 e 12 continuam valendo.
  • Pessoal, como um holerite, um extrato bancário ou um contrato de aluguel. Prefira uma ferramenta que passe nas verificações 1 a 4. Se fizer upload, ela deve passar com clareza nas 5 a 8.
  • Documentos de identidade, como a digitalização de um passaporte, IC ou carteira de motorista. Use uma ferramenta que processe no navegador e mais nada. Uma digitalização de documento vazada é difícil de desfazer.
  • Dados de outras pessoas, como cadastros de clientes, prontuários de pacientes ou documentos de RH. As regras da sua organização vêm primeiro. Leis de proteção de dados como a PDPA da Malásia e o GDPR da União Europeia impõem às organizações o dever de manter os dados pessoais seguros.

Quando uma ferramenta falha em uma verificação

Falhar na verificação 3 não torna uma ferramenta desonesta. Algumas tarefas, como reconhecimento de texto em grande escala em digitalizações, costumam ser feitas em servidores, e uma política clara pode tornar isso aceitável para arquivos comuns. Falhar nela dizendo que funciona no seu navegador é outra história: essa afirmação não é verdadeira, então não confie no resto.

Se você já enviou algo sensível para um site do qual agora desconfia, procure o processo de pedido de exclusão e use-o. Se era um documento de identidade ou dados bancários, fique atento a phishing que cite esses dados de volta para você.

De tempos em tempos, refaça as verificações nas ferramentas que você usa com frequência. Sites são vendidos, mudam a forma de se financiar ou passam um recurso para um servidor, e a ferramenta que você conferiu no ano passado pode funcionar de outro jeito hoje. Uma ferramenta favorita que de repente mostra uma barra de upload merece uma segunda olhada.

Como o Kopitiam se sai no mesmo checklist

É justo passar a nossa própria ferramenta por ele. As ferramentas de PDF do Kopitiam processam seu arquivo no navegador e nunca fazem upload dele, e continuam funcionando se a conexão cair depois que a página carregou. Não há conta, nem bloqueio para baixar, nem instalador.

O que o site envia: o Kopitiam é mantido por anúncios, então seu navegador pede ao nosso parceiro de anúncios um anúncio para exibir. Se você aceitar analytics no banner de cookies, eventos anônimos registram coisas como qual ferramenta foi aberta, nunca o arquivo nem o nome dele. Se você escolher Só essenciais, o analytics não carrega. As fontes vêm do Google Fonts. A página de privacidade lista tudo isso, e você mesmo pode confirmar na aba Rede.