Como saber se um PDF foi editado: metadados, camadas e revisões

Num fluxo de verificação de empresas, o KYB, quase sempre chega um arquivo: o contrato social em PDF, uma alteração contratual, uma certidão da Junta Comercial. Quem analisa costuma tratar esse arquivo como a fotografia de um papel, e é aí que a análise perde informação. O PDF, de Portable Document Format, formato portátil de documento, não é uma imagem: é um formato com estrutura interna, e essa estrutura às vezes conta uma história diferente da que a página mostra.

Este artigo é sobre o arquivo, não sobre o conteúdo jurídico. O que conferir no texto de um documento societário já está em contrato social e estatuto no KYB, e como documentos de identidade físicos são falsificados está em documento falso, como ele é produzido. Aqui a pergunta é o que os bytes entregam sobre edição, e quanto vale cada sinal. Adianto a conclusão, porque ela muda o desenho do fluxo: tudo que a estrutura de um PDF revela é sinal fraco por natureza, serve para priorizar, nunca para condenar sozinho.

O PDF não é uma foto: camadas e revisões empilhadas

O formato é padronizado pela ISO 32000: a parte 1 é o PDF 1.7, derivada da PDF Reference 1.7 da Adobe, e a parte 2 é o PDF 2.0. Nas duas, uma página não é um bitmap: é uma sequência de operadores de desenho. O texto aparece como operadores de exibição de texto, com fonte, posição e tamanho; uma imagem digitalizada aparece como um objeto separado, desenhado na mesma página. As duas coisas coexistem sem se conhecer. Um retângulo branco desenhado por cima de um número, com o número novo escrito ao lado, produz uma página impecável cujo valor original continua no arquivo, apenas coberto. Copiar o texto da página, em vez de só olhá-la, é o teste mais barato para essa classe de edição.

A mesma especificação prevê a atualização incremental: uma alteração pode ser gravada anexando os objetos novos ao fim do arquivo, com uma nova tabela de referências cruzadas apontando para a anterior, em vez de reescrever o documento. É esse mecanismo que permite acrescentar uma segunda assinatura a um PDF já assinado sem invalidar a primeira, porque os bytes originalmente assinados continuam intactos. O efeito colateral é grande: o arquivo entregue pode carregar dentro de si revisões anteriores do próprio conteúdo, acessíveis a quem sabe ler a estrutura mesmo que nenhum leitor as exiba. Um contrato social que chega com várias revisões empilhadas merece um segundo olhar, ainda que nenhuma delas seja fraudulenta.

Metadados: produtor, criador e datas

A norma define dois lugares para metadados. O primeiro é o dicionário de informação do documento, com entradas opcionais como Creator, Producer, CreationDate e ModDate: Creator identifica a aplicação em que o documento original foi criado, Producer a que o converteu ou processou, e as duas datas registram criação e última modificação. O segundo é o fluxo de metadados XMP, de Extensible Metadata Platform, plataforma extensível de metadados, um bloco de XML dentro do arquivo cuja gramática a ISO 32000-1, de 2008, manda seguir a especificação XMP da Adobe, e que a ISO 32000-2 já remete à mesma plataforma normalizada como ISO 16684-1.

Os dois costumam conviver no mesmo arquivo, e a incoerência entre eles é o sinal. Uma certidão que se declara emitida por sistema de Junta Comercial mas traz no Producer o nome de um editor gráfico é uma pergunta a fazer; um ModDate posterior à data de assinatura impressa na página é outra. Nenhuma delas é prova: metadados são texto comum dentro do arquivo, e qualquer ferramenta que escreve PDF pode preenchê-los com o que quiser, inclusive copiando os de um documento legítimo.

Texto invisível: separe manipulação de camada de OCR

A ISO 32000-1 define modos de renderização de texto, e um deles torna o texto invisível: nem preenchido nem contornado, mas presente no arquivo, selecionável e pesquisável. O uso legítimo desse modo é o mais comum em documentos digitalizados. Quando um serviço de OCR, o reconhecimento óptico de caracteres, processa a imagem, ele desenha o texto reconhecido em modo invisível sobre os glifos da imagem, para que o documento fique pesquisável sem mudar de aparência.

Encontrar texto invisível num PDF, portanto, não é encontrar fraude. A distinção que importa é entre dois casos. No primeiro, o texto invisível acompanha a imagem: as posições coincidem com o que se vê e as divergências são erros típicos de leitura, um zero virando a letra O, um acento perdido. Isso é camada de OCR, bem ou mal feita. No segundo, o texto que não aparece, invisível por modo de renderização ou coberto por um objeto opaco, diz algo diferente do que a página mostra em campos que importam, o número do Cadastro Nacional da Pessoa Jurídica, o CNPJ, um valor de capital, um nome de sócio, e as posições não batem com o desenho. Isso é conteúdo antigo ou substituído. Comparar o que se copia com o que se lê, campo a campo, separa os dois casos.

Por que nada disso é prova

Existe um jeito quase trivial de apagar esses sinais: reimprimir. Abrir o PDF adulterado e usar a função de imprimir para PDF gera um arquivo novo, com metadados do momento da reimpressão e sem as revisões anteriores, porque a cadeia de tabelas de referência cruzada não sobrevive à reescrita. Mas a reimpressão não garante sumir com o que estava coberto: texto sob um retângulo opaco continua sendo uma operação de desenho da página e costuma ser reemitido, ainda copiável. Apagar de verdade exige rasterizar, e é o que imprimir em papel e digitalizar de novo faz, com a vantagem, para o fraudador, de virar imagem. O arquivo resultante é limpo, e limpo não é sinônimo de autêntico.

A recíproca também vale: um contrato social que passou por assinatura eletrônica, por um portal de Junta Comercial e por um conversor legítimo acumula revisões, produtores diferentes e datas estranhas sem que ninguém tenha adulterado nada. Ausência de sinal não prova autenticidade, presença de sinal não prova fraude, e um detector que reprove por essas evidências reprova documentos legítimos em volume.

Procedência é a prova forte

O que decide não é o arquivo, é a origem, e há dois caminhos que se somam.

O primeiro é a assinatura digital. Um documento assinado com certificado no padrão ICP-Brasil, a Infraestrutura de Chaves Públicas Brasileira instituída pela Medida Provisória 2.200-2, de 24 de agosto de 2001, permite verificar criptograficamente se os bytes assinados foram alterados depois. A Lei 14.063/2020, no artigo 4º, organiza as assinaturas eletrônicas em simples, avançada e qualificada, e é a qualificada que usa certificado ICP-Brasil. O ITI, Instituto Nacional de Tecnologia da Informação, mantém um Verificador de Conformidade público, que testa inclusive o padrão PAdES, de PDF Advanced Electronic Signatures, usado por assinaturas embutidas em PDF.

O segundo é conferir o dado contra a fonte oficial: o CNPJ lido do documento e os sócios que ele declara se confrontam com a consulta pública ao quadro de sócios e administradores, o QSA, na base da Receita Federal. Na UNIFOKAL, por exemplo, a verificação de empresas confere o CNPJ extraído por OCR do PDF societário contra a base pública antes de a empresa avançar. Um PDF sem rastro auditável cujo conteúdo bate com a fonte oficial vale mais, para a decisão, que um PDF impecável cujo conteúdo não bate com nada.

O desenho que decorre disso

Se todo sinal do arquivo é fraco e a prova mora fora dele, a política correta não é recusa automática. Sinal de manipulação deve acionar duas coisas: pedir o arquivo de novo, de preferência o original assinado em vez de uma reimpressão, que é o mesmo raciocínio do fluxo de recaptura, e escalar a conferência contra fonte oficial nos campos que o sinal tocou. Recusar cadastro por metadado incoerente troca uma fraude improvável por muitos clientes legítimos perdidos; ignorar o sinal joga fora informação barata.

Fontes citadas

• ISO 32000-1, norma que padroniza o PDF 1.7: estrutura de arquivo, atualização incremental, dicionário de informação do documento e modos de renderização de texto
• ISO 32000-2, do PDF 2.0, que remete o XMP à ISO 16684-1
• Adobe PDF Reference 1.7, da qual a ISO 32000-1 foi derivada, e a especificação XMP da Adobe, adotada por ela para metadados
• ISO 16684-1, especificação da plataforma extensível de metadados XMP
• Medida Provisória 2.200-2, de 24 de agosto de 2001, que institui a ICP-Brasil, no portal do Planalto: planalto.gov.br
• Lei 14.063/2020, artigo 4º, sobre assinatura eletrônica simples, avançada e qualificada
• ITI, Instituto Nacional de Tecnologia da Informação, Verificador de Conformidade de Assinaturas Digitais ICP-Brasil, no portal gov.br: gov.br
• Receita Federal, consulta pública ao Cadastro Nacional da Pessoa Jurídica, no portal gov.br: gov.br