O site envia o seu PDF?

Porque é que isto se verifica em vez de se acreditar

Todos os serviços de PDF dizem que respeitam a sua privacidade. A frase não distingue nada, porque todos a escrevem. O que distingue é a arquitectura, e a arquitectura deixa rasto observável no browser.

Um serviço que processa no servidor tem de receber o ficheiro. Não há forma de o esconder: os bytes atravessam a rede e o browser regista-os. Um serviço que processa localmente não tem nada para enviar, e essa ausência também é visível. Não é preciso confiar em nenhuma das partes.

O teste do separador Rede, passo a passo

1. Abra o site da ferramenta e espere que carregue por completo.
2. Carregue em F12. No Safari, active primeiro o menu Programador nas preferências.
3. Escolha o separador Rede (ou Network). Carregue no ícone de limpar para esvaziar a lista.
4. Escolha o seu PDF e execute a operação até ao fim.
5. Ordene a lista pela coluna de tamanho, do maior para o menor, e olhe para o topo.

Se houver um pedido do tipo POST cujo tamanho se aproxime do tamanho do seu ficheiro, o ficheiro foi enviado. É essa a conclusão, e não admite outra leitura.

A versão à prova de dúvida

Um pedido isolado pode ser confundido com outra coisa. A forma de eliminar a dúvida é variar a entrada: faça a mesma operação com um PDF de 1 MB e depois com um de 20 MB. Se o tráfego de saída for igual nos dois casos, o ficheiro não viajou. Se crescer proporcionalmente, viajou.

Os seis sinais, sem abrir ferramentas de programador

O teste do modo avião

É o mais simples de todos e não exige ferramentas nenhumas. Abra a página, espere que carregue, e desligue a rede (modo avião, ou tirar o cabo). Depois experimente usar a ferramenta. Se funcionar sem rede, o processamento é local por definição, porque não há para onde enviar. Se falhar, dependia de um servidor.

Neste site o teste passa: as doze ferramentas continuam a funcionar sem rede depois de a página ter carregado uma vez.

O que muda na prática

Processar localmente não é uma preferência estética. Muda o que é possível acontecer ao documento:

• Retenção: não há cópia num servidor para apagar ao fim de duas horas, porque nunca houve cópia.
• Jurisdição: não interessa em que país estão os servidores do fornecedor, porque o ficheiro não passou por lá.
• Acesso de terceiros: uma ordem judicial dirigida ao fornecedor não produz o documento, porque o fornecedor não o tem.
• Falhas de segurança: uma intrusão nos servidores do fornecedor não expõe os seus ficheiros, pela mesma razão.
• Obrigação profissional: advogados, médicos, contabilistas e funcionários públicos têm deveres de sigilo que uma política de retenção não satisfaz por si só.

Onde o processamento local não chega

Ser local não resolve tudo, e convém dizê-lo antes de alguém descobrir sozinho:

• O reconhecimento de texto em digitalizações (OCR) não existe aqui. Um scan sem camada de texto continua sem texto.
• O tecto de tamanho passa a ser a memória do browser, e é mais baixo no telemóvel do que num computador.
• Não há automação por API, porque não há servidor a quem chamar.
• A página em si continua a ser servida por HTTPS, e a medição da Google só arranca depois de você aceitar. O ficheiro é que nunca entra na conversa.

Fontes

• MDN, Network monitor das ferramentas de programador
• MDN, File API
• iLovePDF, política de privacidade
• Smallpdf, política de privacidade