Cómo saber si un PDF ha sido editado: 7 pasos de revisión

Muchas veces se puede saber si un PDF ha sido editado revisando cinco elementos: las propiedades del archivo, el programa que lo generó, el número de revisiones guardadas, el estado de las firmas digitales y la capa de texto con sus fuentes. Ninguno demuestra que un documento sea auténtico. Cada uno puede mostrar que el archivo cambió después de que lo emitiera su origen, y en conjunto la revisión lleva unos diez minutos.

Esta guía es para quien recibe el archivo: analista de prevención de blanqueo, gestor de alquileres, analista de riesgos, responsable de recursos humanos. No requiere herramientas forenses. Cuando un comando ayuda, casi siempre la misma información está en Acrobat Reader o en el navegador.

Qué puede y qué no puede demostrar una revisión de ediciones

Una revisión de ediciones encuentra rastros de modificación; nunca certifica la autenticidad. El formato PDF está definido en la norma ISO 32000-2, que permite a cualquier aplicación reescribir un archivo, borrar sus metadatos o aplanarlo en imágenes. Un archivo sin rastros significa «no se detectó edición», no «verificado».

Hay tres resultados realistas:

• Rastros claros: un editor de consumo en el campo productor, una fecha de modificación posterior a la fecha del documento o una firma rota. Escalar.
• Rastros ambiguos: un guardado incremental o un archivo reexportado. Muchos flujos legítimos lo producen. Pedir el original.
• Sin rastros: un archivo limpio de un productor esperable. Seguir con el contraste entre documentos, porque un falsificador cuidadoso no deja nada en el propio archivo.

En los foros especializados se repite la pregunta: «¿de verdad se puede saber si un PDF se editó o es cuestión de ojo?». La respuesta honesta es que metadatos y estructura detectan rápido las ediciones descuidadas y pasan por alto las cuidadosas. Por eso el último paso compara contenido y no propiedades del archivo.

Paso 1: leer las propiedades del archivo

Abra las propiedades del documento y compare la fecha de creación con la de modificación. En Adobe Acrobat Reader, Ctrl+D (Cmd+D en Mac); en un navegador, el panel de información del documento. En terminal, pdfinfo archivo.pdf o exiftool -a -G1 archivo.pdf muestran los mismos campos y el bloque XMP.

Hay una trampa que atrapa a los principiantes. Las fechas de los metadatos indican cuándo se produjo el archivo, no la fecha impresa en el documento. Muchos portales bancarios y de nóminas generan el PDF en el momento de pulsar «descargar»: una nómina de marzo con fecha de creación de junio puede ser totalmente normal. Compare con el comportamiento conocido del emisor, idealmente con otro documento genuino del mismo emisor.

Paso 2: comprobar el programa productor

El campo Producer debe coincidir con la forma en que ese emisor fabrica realmente sus documentos. Las plataformas de nóminas, los bancos y la administración tributaria usan bibliotecas de servidor (iText, Apache FOP, Skia/PDF, Adobe PDF Library o motores propios). Un «extracto bancario» cuyo productor es un editor PDF de consumo, un sitio web de edición en línea o un procesador de textos es una señal fuerte.

Combinaciones de alerta:

• Productor = editor PDF en línea, cuando el emisor nunca usa uno.
• Creator indica Microsoft Word o Canva en un documento que se presenta como generado por sistema.
• Productor distinto entre el diccionario Info y el bloque XMP, lo que ocurre cuando una herramienta actualiza solo uno.
• Producer y Creator vacíos. Algunas herramientas de privacidad lo hacen, y también el borrado deliberado.

La guía sobre manipulación de metadatos PDF explica cómo se falsifican estos campos y qué rastro deja el borrado.

Paso 3: contar las revisiones

Un PDF guardado de forma incremental conserva la versión anterior dentro del archivo; el número de marcadores de fin de archivo indica cuántas veces se guardó. El formato permite añadir los cambios tras el %%EOF original en lugar de reescribir el archivo (ISO 32000-2, sección 7.5.6).

En terminal, grep -a -c '%%EOF' archivo.pdf devuelve el recuento. Un marcador: una sola escritura. Dos: normal en archivos «linealizados» para visualización web rápida. Tres o más: al menos una actualización incremental, y una biblioteca como qpdf o pdf.js puede extraer cada revisión anterior para leer lo que decía el documento antes.

Las actualizaciones incrementales no prueban fraude: formularios rellenados, contratos contrafirmados y archivos anotados las generan. La prueba es la coherencia: un contrato de alquiler firmado al que se añaden las iniciales del inquilino es normal; una nómina con tres revisiones no se parece a nada que haga un programa de nóminas.

Paso 4: validar cada firma digital

Una firma válida sella el archivo; una firma rota demuestra que cambió después de firmarse. Abra el panel de firmas en Acrobat Reader. Una marca verde indica que el documento no se modificó desde la firma y que la cadena de certificados es de confianza. «El documento ha sido modificado o dañado desde que se firmó» es la prueba de edición más clara que existe.

En la UE, las firmas y sellos electrónicos se rigen por el Reglamento (UE) n.º 910/2014 (eIDAS), modificado por el Reglamento (UE) 2024/1183. Las firmas cualificadas gozan de presunción de integridad. Para una segunda opinión independiente de su lector, existe la herramienta gratuita VALIDe de la Administración española y el validador DSS de la Comisión Europea.

Dos cautelas. Un panel con «validez de la firma desconocida» suele significar que el lector no tiene la lista de confianza, no que el archivo sea malo. Y un documento sin firma no dice nada: la mayoría de nóminas y extractos nunca se firman.

Un detalle local: muchos documentos de la Agencia Tributaria llevan un Código Seguro de Verificación (CSV) que se comprueba en la sede electrónica; si el PDF recibido no coincide con el que devuelve la sede, la discrepancia es concluyente.

Paso 5: probar la capa de texto y las fuentes

Seleccione todo el texto (Ctrl+A) y observe qué se resalta. En un PDF generado por sistema, el texto aparece en bloques limpios y alineados. En uno editado se ve a menudo una cifra cambiada resaltada en un cuadro aparte, desplazada un píxel de la línea base, o texto que no se deja seleccionar porque se pegó como imagen.

Abra después la lista de fuentes (Propiedades del documento, pestaña Fuentes, o pdffonts archivo.pdf):

• Dos subconjuntos de la misma tipografía (ABCDEF+Arial y GHIJKL+Arial) suelen indicar que parte de la página se retecleó con otra herramienta.
• Una fuente que solo aparece en los importes (salario, saldo, alquiler) es el patrón clásico.
• Ningún texto, solo una gran imagen, significa que la página se imprimió o se capturó y se reempaquetó, lo que elimina los indicios en que se apoya este paso.

Copie también el texto en un editor sencillo: capas de texto ocultas, caracteres blancos sobre blanco y texto fuera de la página aparecen ahí. Vea las capas de texto ocultas en PDF y el análisis tipográfico.

Paso 6: ampliar y mirar lo visual

Amplíe al 400 % logotipos, sellos, cifras y bordes de tabla. Un logotipo vectorial sigue nítido; uno que se difumina mientras el texto vecino sigue nítido se pegó como imagen de mapa de bits. Busque suavizado distinto alrededor de los números, espaciado irregular en importes alineados a la derecha y un gris diferente en una fila de tabla.

En páginas escaneadas o fotografiadas, el análisis de nivel de error (ELA) añade una señal, pero da falsos positivos en escaneos muy comprimidos. Es una pista para preguntar, no un veredicto.

Paso 7: contrastar el contenido

Compare cifras e identificadores con una fuente que el solicitante no controle. Es el paso que sigue funcionando cuando el archivo está limpio: quien borra metadatos e iguala fuentes aún debe hacer coincidir sus cifras con el resto de documentos del expediente.

El cálculo es la prueba más barata: vuelva a sumar las líneas de un extracto; saldo inicial más abonos menos cargos debe igualar el saldo final. Los importes retocados rara vez lo superan.

Para los sujetos obligados, el artículo 3 de la Ley 10/2010 exige identificar formalmente al cliente mediante documentos fehacientes, de ahí que la revisión no pueda quedarse en «parece correcto». Las expectativas supervisoras las detalla el Sepblac.

Herramientas gratuitas o revisión automatizada

Las herramientas gratuitas sirven para algún archivo suelto, pero no suba documentos de clientes a cualquier web. Enviar identidades y documentos financieros a un «verificador de PDF» desconocido es una transferencia de datos personales; el RGPD obliga a saber adónde van y en qué condiciones, y la AEPD lo recuerda con frecuencia. Prefiera herramientas locales (Acrobat Reader, pdfinfo, exiftool, qpdf) o un encargado del tratamiento con contrato.

Con volumen, lo manual se desborda. Una validación automatizada aplica las mismas pruebas de propiedades, estructura y coherencia a cada archivo y solo remite a una persona los casos atípicos. Las señales de generación por IA y manipulación de CheckFile complementan sus controles actuales y no sustituyen el criterio del revisor. Para la integridad del expediente y la coherencia entre documentos, la solución para banca y KYC describe qué se compara (campos, fechas, registros), y la página de precios detalla los planes.

Edición legítima o escalado

No todo PDF modificado es fraudulento. Los solicitantes fusionan páginas, comprimen archivos para cumplir límites de carga, tachan un número de cuenta o rellenan un formulario. Pida el original y una explicación antes de presumir mala fe, y registre lo recibido.

Escale cuando un rastro se suma a una discrepancia: productor inesperado más una cifra que no cuadra, o una firma rota en un documento presentado como original. La falsedad documental se sanciona en los artículos 390 a 392 del Código Penal, con prisión de seis meses a tres años y multa cuando un particular falsea un documento público, oficial o mercantil (art. 392). Lo que sigue lo decide el representante ante el Sepblac o el órgano de control interno, no el revisor de primer nivel.

Para el proceso completo, consulte la guía de verificación de documentos.

Preguntas frecuentes

¿Se puede saber si un PDF ha sido editado?

A menudo sí, pero no siempre. Metadatos, número de revisiones, firmas y fuentes delatan ediciones descuidadas en minutos. Quien reimprime a PDF o reconstruye el archivo deja pocos rastros; entonces hay que contrastar el contenido con otros documentos.

¿Abrir y guardar un PDF lo modifica?

Guardar en la mayoría de editores actualiza la fecha de modificación y el productor, y puede añadir una revisión. Abrir y ver no cambia el archivo. Una fecha de modificación posterior a la de creación es motivo para preguntar, no prueba de fraude.

¿Hay una herramienta gratuita en línea para comprobarlo?

Existen varias, pero subir documentos de clientes supone un riesgo de protección de datos. Use herramientas locales para metadatos y estructura, y un servicio en línea solo con contrato de encargo de tratamiento o con archivos de prueba sin datos personales.

¿Puede una IA saber si un PDF ha sido editado?

Los sistemas automatizados comparan metadatos, estructura, fuentes y artefactos de imagen a gran escala y señalan combinaciones que una persona pasaría por alto. Producen señales, no certeza, y la decisión final corresponde al revisor.

¿Qué pasa si el PDF no tiene metadatos?

La ausencia de metadatos es un indicio, no un veredicto. Algunas herramientas de privacidad los eliminan, igual que imprimir a PDF. Pida el original desde el portal del emisor y compárelo con un documento que ese emisor produzca habitualmente.

Para situar este riesgo en la oferta CheckFile, consulte nuestro enfoque de detección IA y deepfake.