Безопасная отправка больших PDF: руководство по шифрованию

Чтобы безопасно отправить большой PDF, нужно использовать два уровня защиты: шифрование самого файла (AES-256 через Acrobat, Preview или qpdf) и шифрование канала передачи (сервисы со сквозным шифрованием, такие как HexaTransfer). Вложения в письма ограничены примерно 25 МБ и раскрывают метаданные. Google Drive и Dropbox шифруют данные при передаче, но могут расшифровать их в состоянии покоя. Для договоров, медицинских документов и финансовых отчётов важны оба уровня защиты, а не каждый по отдельности.

Почему PDF-файлы бывают большими

Большинство «тяжёлых» PDF — это сканы. Документ из 20 страниц, отсканированных с 600 DPI без OCR, может весить 50–200 МБ. PDF, экспортированный из Word, Pages или InDesign в векторном формате, обычно не превышает 5 МБ даже при 100+ страницах. Типичные источники раздувания:

Постраничные сканы, сохранённые как изображения внутри PDF-обёртки вместо текста.
Дублирование встроенных шрифтов при объединении PDF-файлов.
Высококачественные изображения (каталоги продукции, годовые отчёты) без понижения разрешения.
Скрытые слои и аннотации из Acrobat, которые никогда не были сведены.

Перед шифрованием и загрузкой выполните сжатие через «Reduce File Size» в Acrobat или gs (Ghostscript) с параметром -dPDFSETTINGS=/ebook. 120-мегабайтный скан нередко уменьшается до 15 МБ без видимой потери качества.

Два уровня шифрования простыми словами

Уровень 1 — шифрование самого PDF. Файл зашифрован паролем. Для открытия нужен пароль. Acrobat Pro, macOS Preview, LibreOffice и qpdf умеют задавать AES-256-шифрование PDF. Это защищает файл даже после скачивания, даже если получатель перешлёт его дальше.

Уровень 2 — шифрование при передаче. Канал загрузки и скачивания использует TLS, а в идеале сквозное шифрование, которое не позволяет сервису прочитать PDF ни в пути, ни в состоянии покоя на серверах.

Только уровень 1: получатель получает PDF с паролем, но провайдер видел его при загрузке в незашифрованном виде. Только уровень 2: передача защищена, но скачанный PDF лежит на устройстве получателя без защиты. При высоких ставках используйте оба уровня.

Установка AES-256-защиты паролем на PDF

macOS Preview: Файл > Экспорт > поставить галочку «Зашифровать» > задать пароль. На современных версиях используется AES-256.

Adobe Acrobat Pro: Инструменты > Защита > Зашифровать > Зашифровать паролем > выбрать «256-bit AES».

qpdf (командная строка, бесплатно, кроссплатформенно):

qpdf --encrypt userpass ownerpass 256 -- input.pdf output.pdf

Замените userpass на пароль для открытия, а ownerpass — на пароль разрешений. Разные пароли дают более тонкое управление правами.

LibreOffice: Файл > Экспорт как > Экспорт в PDF > вкладка Безопасность > «Зашифровать паролем».

Избегайте устаревшего 128-битного RC4, который некоторые инструменты предлагают по умолчанию: он взломан и обходится коммерческими инструментами восстановления паролей.

Передача пароля — не в том же канале, что файл

Главное правило парольной защиты: не отправляйте пароль по тому же каналу, что и файл. Если вы отправляете PDF и пароль по email, тот, кто перехватит письмо, получит сразу оба. Используйте два разных канала:

Ссылка на PDF по email, пароль по SMS.
Ссылка через HexaTransfer, пароль через Signal.
Ссылка через Slack, пароль по телефонному звонку.

Для разовых получателей генератор временных паролей (1Password, Bitwarden) лучше запоминающейся фразы.

Бесплатные сервисы для доставки зашифрованных PDF

| Сервис | Максимальный размер | Шифрование при передаче | На сервере в покое | |---|---|---|---| | HexaTransfer | 10 ГБ | Сквозное (AES-256-GCM) | Зашифровано, ключ не на сервере | | WeTransfer | 2 ГБ бесплатно | TLS 1.3 | Сервер может расшифровать | | Tresorit Send | 5 ГБ бесплатно | Сквозное | Зашифровано | | Firefox Send | Закрыт в 2020 году | — | — | | Proton Drive Share | 1 ГБ бесплатно | Сквозное | Зашифровано | | Dropbox Transfer | 100 МБ бесплатно | TLS | Сервер может расшифровать |

Для чувствительного PDF в 200 МБ (медицинское заключение или подписанный договор) HexaTransfer или Tresorit Send обеспечивают настоящее сквозное шифрование. WeTransfer удобен, но не подходит для регулируемых данных.

Метаданные PDF, которые могут навредить

PDF хранит метаданные, которые вы, возможно, не хотите раскрывать: имя автора, использованное ПО, дата создания, история правок, а иногда полный путь к исходному файлу. Перед внешней отправкой:

Acrobat: Файл > Свойства > вкладка Описание > очистить автора и ключевые слова.
exiftool: exiftool -all= document.pdf — удаляет все метаданные.
«Удалить скрытые данные» (Acrobat Pro) захватывает аннотации, закладки, данные форм и вложенные файлы.

Юридическая фирма, отправляющая черновик договора с именем принимающей стороны в имени файла и именем составляющего юриста в метаданных, раскрыла больше, чем думает.

Подписанные PDF и доказательства целостности

Если PDF является юридическим документом с электронной подписью (PAdES, согласно ETSI EN 319 142), парольное шифрование после подписи не нарушает подпись — но добавление страниц или аннотаций её нарушит. Порядок действий: сначала подпись, потом шифрование. Получатель верифицирует подпись в панели Acrobat по сертификату подписавшего, который привязан к доверенному УЦ (например, DocuSign, Adobe Approved Trust List).

Контекст GDPR и HIPAA для обмена PDF

Согласно статье 32 GDPR, операторы персональных данных обязаны применять «надлежащие технические меры», включая шифрование там, где риск это оправдывает. Для персональных данных в PDF (имена, идентификаторы, медицинские сведения) сквозное шифрование при передаче отвечает этому требованию. Технические требования HIPAA (45 CFR 164.312(e)(1)) аналогично предписывают защиту передачи для ePHI. Оба режима предпочитают эшелонированную защиту: зашифруйте PDF, зашифруйте канал, зафиксируйте факт передачи.

Отзыв доступа и хранение

Физический конверт нельзя вернуть; цифровой PDF — можно при наличии возможности. HexaTransfer позволяет удалить загруженный blob до истечения срока, делая ссылку недействительной. Защищённый паролем PDF, скачанный до удаления, остаётся на устройстве получателя — шифрование в покое даёт второй уровень защиты, когда контроль над первой копией уже утерян.

Попробуйте на hexatransfer.com — бесплатно, без регистрации, до 10 ГБ.