Editores PDF online: las huellas en un documento editado

Un editor PDF online casi siempre reescribe el archivo completo en lugar de corregirlo sobre el original, y esa reescritura deja huellas: un campo «Productor» distinto, una nueva fecha de modificación, un identificador de archivo regenerado, fuentes reincrustadas y, si el original estaba firmado, una firma rota o ausente. Ninguna de estas huellas prueba un fraude. En conjunto muestran que una herramienta web procesó el documento después de que lo produjera el emisor, y eso es lo que un revisor necesita saber antes de fiarse de él.

Este artículo se dirige a quien recibe el archivo: analista KYC, agente inmobiliario, responsable de recursos humanos, analista de riesgos de crédito. Explica qué suelen cambiar los editores web, dónde verlo y por qué la ausencia de huellas no demuestra nada.

Por qué un editor web deja huellas distintas a las de un programa de escritorio

Un editor en el navegador suele regenerar el documento en el servidor, de modo que el resultado es un archivo nuevo y no una copia modificada. El formato PDF, definido en la norma ISO 32000-2, admite dos métodos: añadir una actualización incremental tras el marcador de fin original o escribir un archivo completo. Los programas de escritorio suelen añadir; muchos servicios web reconstruyen, combinan, comprimen y guardan en una sola pasada.

La consecuencia práctica es que contar marcadores %%EOF para hallar revisiones funciona bien con archivos guardados de forma incremental y mal con archivos que pasaron por un servicio web. Una sola revisión no significa «intacto».

Las siete huellas que conviene buscar

Las huellas más fiables están en los campos de productor, el identificador del archivo, la lista de fuentes, la estructura de objetos y el estado de la firma. Revíselas en este orden.

1. Los campos Productor y Creador

El campo Productor indica el programa que escribió el archivo final; Creador, la aplicación que generó el origen. Un extracto bancario descargado de la banca online nombra normalmente el motor de informes del banco. Si el mismo extracto menciona un editor web genérico o una biblioteca PDF ajena, el archivo pasó por una segunda herramienta. Ejecute exiftool -a -G1 archivo.pdf o abra las propiedades del documento (Ctrl+D en Acrobat Reader).

Construya su propia lista de referencia: tome un documento auténtico de cada emisor frecuente, anote su cadena de productor y compare los archivos entrantes. No confíe en listas públicas de valores «sospechosos»: los servicios cambian de biblioteca, y la PDF Association recuerda que la clave Producer está en desuso en ISO 32000-2 y que los metadatos son opcionales y fáciles de editar (presentación de la PDF Association sobre forense PDF y metadatos).

2. Fechas de creación y de modificación

Una fecha de modificación horas o días posterior a la de creación indica un nuevo guardado. Si es posterior a la fecha impresa en el documento, por ejemplo una nómina de septiembre modificada en octubre, conviene preguntar. Las marcas de tiempo idénticas son habituales en archivos generados de una sola vez y no tranquilizan por sí solas.

3. Identificador del archivo e identificadores XMP

El trailer de un PDF puede incluir una matriz /ID con dos cadenas: la primera se fija al crear el archivo y la segunda cambia en cada guardado. Los metadatos XMP añaden DocumentID e InstanceID. Cuando una reescritura regenera ambos, se pierde el vínculo con el original del emisor; solo puede compararse si dispone de una copia auténtica conocida.

4. Fuentes y objetos de texto

El texto editado suele usar un subconjunto de fuente distinto al del texto que lo rodea. Los subconjuntos incrustados llevan un prefijo de seis letras (por ejemplo ABCDEF+Arial). Una página que mezcla dos subconjuntos de la misma familia, o una cifra en una fuente de reemplazo, es una señal clásica de que se sustituyó un valor. Seleccione la cifra dudosa en un visor: el texto editado suele estar en su propio bloque, con otro espaciado.

5. Superposiciones, recuadros blancos y anotaciones aplanadas

Algunas herramientas web no modifican el texto subyacente. Dibujan un rectángulo blanco sobre el valor antiguo y colocan encima el nuevo, o «aplanan» las anotaciones en la página. Copie todo el texto en un editor de texto plano: aparecen valores originales ocultos, texto fuera de la página y cifras duplicadas. Véase la capa de texto oculta en el fraude documental con PDF.

6. Estado de la firma digital

Un PDF firmado por el emisor lleva una firma criptográfica sobre un rango de bytes definido. Cualquier cambio la invalida, y una reescritura completa por un editor web suele eliminar el campo de firma. Un documento presentado como «el original firmado» sin firma, o con una firma rota, justifica pedir el original al emisor.

7. Compresión, resolución y marcas de agua

Los planes gratuitos de algunos servicios añaden una marca de agua o un pie de página, y la compresión reduce la resolución de las imágenes o cambia el espacio de color. Un logotipo nítido en la copia auténtica y borroso en el archivo recibido delata una recodificación. Es solo un indicio complementario: los solicitantes también comprimen archivos para cumplir el límite de carga.

Lo que estas huellas no pueden decirle

Las huellas muestran que un archivo fue procesado, no por qué, y pueden borrarse. Los metadatos se reescriben con herramientas gratuitas; una guía de TrueScreen describe herramientas online que permiten sobrescribir directamente productor, título y fechas (TrueScreen sobre la edición de metadatos PDF). Imprimir a PDF o rasterizar una página y volver a empaquetarla elimina la mayoría de las pistas estructurales. Existen trabajos de investigación que identifican la herramienta productora por su estilo de codificación interno, y no por los metadatos, precisamente porque estos son poco fiables (Robust PDF Files Forensics Using Coding Style).

Hay tres desenlaces realistas:

• Huellas claras: productor inesperado, identificador cambiado y fuente incoherente. Pida el original al emisor.
• Huellas ambiguas: archivo reescrito pero limpio. Muchos solicitantes honestos combinan, comprimen o giran páginas. Pregunte el motivo.
• Sin huellas: continúe con las comprobaciones entre documentos, porque un falsificador cuidadoso no deja nada en el archivo.

Lo que preguntan realmente los revisores

En foros de cumplimiento normativo e inmobiliarios se repiten las mismas dudas. Dos destacan.

«Mi cliente dice que solo comprimió el PDF. ¿Es creíble?»

Puede serlo. Comprimir o combinar cambia el productor, el identificador y a menudo el número de revisiones, pero no debería cambiar las fuentes del texto, mover cifras ni alterar valores. Si las únicas diferencias son productor, fechas y calidad de imagen, y el contenido concuerda con el resto de documentos, trátelo como un guardado benigno y déjelo anotado en el expediente.

«¿Puedo pasar un documento sospechoso por un verificador online gratuito?»

No sin pensarlo. El archivo contiene datos personales; enviarlo a un servicio externo convierte a este en encargado del tratamiento o destinatario según el RGPD. El artículo 28 del RGPD exige un contrato con el encargado, y la AEPD recuerda la necesidad de una base jurídica. Use herramientas locales para los metadatos y un servicio externo solo con contrato de encargo del tratamiento.

Un procedimiento breve para adoptar

1. Anote productor, creador, fechas e identificador de cada PDF entrante en el expediente.
2. Compare con una referencia auténtica del mismo emisor.
3. Seleccione y copie los valores clave (nombre, importe, fecha, IBAN) y revise la coherencia de fuentes y bloques de texto.
4. Compruebe el estado de la firma cuando el emisor suela firmar.
5. Concilie las cifras con otros documentos: nómina con extracto bancario, extracto con declaración de la renta.
6. Escale las discrepancias al responsable de prevención del fraude o del blanqueo.

La conciliación entre documentos es el paso decisivo. La guía de verificación de documentos explica cómo encajan las comprobaciones, nuestro artículo sobre cómo saber si un PDF ha sido editado detalla la estructura de revisiones, y el de detección de metadatos PDF manipulados explica por qué el borrado deja su propia huella.

Marco jurídico y regulatorio en España

Presentar como auténtico un documento alterado puede constituir falsedad documental, y los sujetos obligados deben poder demostrar que comprobaron los documentos en que se apoyan. El artículo 390 del Código Penal castiga la falsificación de un documento público, oficial o mercantil por un funcionario, y los artículos siguientes extienden el castigo al particular y al uso del documento falso. Para los sujetos obligados de la Ley 10/2010 de prevención del blanqueo de capitales, el Sepblac supervisa la calidad de la identificación formal y de la comprobación de la documentación, y las operaciones sospechosas se comunican a este servicio. Un expediente aceptado pese a huellas de edición sin explicar es difícil de defender; uno en el que el revisor anotó las huellas, pidió el original y documentó el resultado, mucho menos.

El revisor de primera línea no califica el delito. Deja constancia de lo que ve y lo traslada al responsable designado.

Hacerlo a escala

La inspección manual lleva unos minutos por archivo y depende de quien la haga. Las comprobaciones automatizadas aplican las mismas pruebas de propiedades, estructura y coherencia a cada carga y envían a una persona solo los archivos atípicos. Las señales de generación por IA y manipulación de CheckFile complementan sus controles existentes y no sustituyen el criterio del revisor. Para la completitud de expedientes y la comparación de campos y fechas entre documentos, vea la solución para banca y KYC, la página de seguridad sobre el tratamiento de archivos y las tarifas.

Preguntas frecuentes

¿Los editores PDF online dejan huellas?

Sí. La mayoría cambia el campo productor o creador, actualiza la fecha de modificación, regenera el identificador del archivo y reescribe la estructura de objetos. Algunos reincrustan fuentes o eliminan firmas digitales. Las huellas pueden borrarse después, así que su ausencia no prueba que el archivo esté intacto.

¿Se puede saber qué editor online se usó?

A veces. La cadena de productor suele nombrar el servicio o su biblioteca, y el estilo de codificación puede orientar. Es una pista, no una certeza, porque los valores pueden sobrescribirse y los servicios cambian de software.

¿Una sola revisión significa que el PDF no se editó?

No. Muchos editores web reescriben todo el archivo, lo que devuelve el número de revisiones a uno. Un productor inesperado junto con un identificador nuevo es más revelador que el número de revisiones.

¿Es sospechoso un PDF sin metadatos?

Es una señal, no un veredicto. Las herramientas de privacidad, la impresión a PDF y algunos portales eliminan los metadatos. Pida el original al emisor y compárelo con un documento auténtico conocido.

¿Puedo comprobar el PDF de un cliente en una herramienta online gratuita?

Solo con base jurídica y un contrato de encargo del tratamiento con el proveedor. En caso contrario, use herramientas locales, porque el documento contiene datos personales.

Para situar este riesgo en la oferta CheckFile, consulte nuestro enfoque de detección IA y deepfake.