كلمة مرور PDF ليست مستوى أمان واحداً
تشفير PDF بكلمة مرور يعني قفل الوصول إلى الملف، لا بالضرورة تحصين المحتوى. ومع ذلك تعرض كثير من الأدوات «AES-256» وكأنه ملصق عالمي. الواقع أدق: مع التطبيقات الافتراضية، قد تحدد نسخة المستند المصدر الخوارزمية المنتَجة — RC4 بمفتاح 40 بت، أو RC4 بمفتاح 128 بت، أو AES-128. هذه التدرجات هي ما نوثّقه — لأن تشفيراً سيئ التعريف يمنح طمأنينة زائفة — ونشرح لماذا يفرض Document Flare دائماً المراجعة الأقوى.
YubiKey 5 NFC — مفتاح أمان FIDO2مصادقة ثنائية عتادية: تسجيل دخول مقاوم للتصيد للحسابات الحساسة.انتساب
لماذا AES-256 المعلن في كل مكان غالباً غير صحيح
معيار PDF لا يعرّف تشفيراً واحداً، بل عدة مراجعات:
- المراجعة 2: RC4 بمفتاح 40 بت (PDF 1.3 وما قبله)؛
- المراجعة 3: RC4 بمفتاح 128 بت (PDF 1.4 / 1.5)؛
- المراجعة 4: AES بمفتاح 128 بت بنمط CBC (PDF 1.6 / 1.7)؛
- المراجعة 5: AES بمفتاح 256 بت، محصورة في PDF 1.7 Extension Level 3.
ملف PDF 1.7 عادي — الحالة الأكثر شيوعاً اليوم — سيُشفَّر إذن بـ AES-128 في تطبيق يتبع النسخة المعلنة للمستند، لا بـ AES-256. حين تعرض أداة «AES-256» دون فرض المراجعة 5 صراحة، فهي غالباً تُبسّط تسويقها.
كيف تتحقق مما تفعله الأداة فعلاً
يخزّن PDF معاملات تشفيره في قاموس /Encrypt. يمكنك فحصه بأدوات تقنية:
qpdf --show-encryption fichier.pdfيعرض الخوارزمية وحجم المفتاح والأذونات؛pdftk fichier.pdf dump_dataيعطي مؤشرات عن الحماية؛- قارئات PDF المتقدمة أو مكتبات Python (pikepdf, PyPDF2) تعرض المدخلات
/Vو/Rو/Lengthو/CF.
ما الذي تبحث عنه:
/V= 1 و/R= 2 → RC4 بمفتاح 40 بت؛/V= 2 و/R= 3 → RC4 بمفتاح 128 بت؛/V= 4 و/R= 4، مع/CF/StdCF/CFM=/AESV2و/Length= 128 → AES-128؛/V= 5 و/R= 5، مع/AESV3و/Length= 256 → AES-256.
إذا وعدت أداة بـ AES-256 دون فرض المراجعة 5، فافحص قاموس /Encrypt للنتيجة — قد لا يكون الملصق سوى تسويق.
المستوى الحقيقي في Document Flare: AES-256 مفروض
يستخدم Document Flare مكتبة @cantoo/pdf-lib للتشفير وفك التشفير داخل المتصفح. افتراضياً، تختار هذه المكتبة الخوارزمية بحسب النسخة المعلنة لملف PDF المصدر — بالتدرجات الموصوفة أعلاه. Document Flare لا يكتفي بهذا الافتراضي: عند الكتابة، تُعلن الأداة ملف PDF 1.7 Extension Level 3، مما يختار منهجياً المراجعة 5 — AES-256 (AESV3).
عملياً: حتى لو كان مستندك المصدر ملف PDF 1.4 قديم، فالملف المحمي الناتج مشفّر بـ AES-256. يمكنك التحقق بنفسك عبر qpdf --show-encryption: ستقرأ /V = 5 و/R = 5 و/CFM = /AESV3 و/Length = 256.
ما الذي تحميه كلمة المرور، وما الذي لا تحميه
التشفير بكلمة مرور يحمي فتح الملف. بدونها، يبقى المحتوى غير مقروء — نظرياً. عملياً، تعتمد المقاومة كثيراً على كلمة المرور نفسها: «123456» أو اسم الشركة يُكسَران في ثوانٍ، حتى مع AES-128.
ما لا تفعله الأداة حالياً:
- لا تقيّد أذونات النسخ أو الطباعة؛ كلمة المرور المُدخلة تعمل كلمة مستخدم وكلمة مالك معاً؛
- لا تشفّر بيانات المستند الوصفية بشكل منفصل؛
- ليست توقيعاً إلكترونياً: تثبت فقط أن حامل كلمة المرور يمكنه فتح الملف.
إذا كان عليك جعل معلومة غير قابلة للاسترجاع، فكلمة المرور لا تكفي: يجب تنقيح المنطقة الحساسة قبل حماية الملف.
حدود وفخاخ
- كلمة مرور ضعيفة = حماية ضعيفة. فضّل عبارة مرور طويلة حتى لو سهلة الحفظ.
- RC4 بمفتاح 40 بت يجب أن ينبّهك. إذا استلمت PDF محمياً يسبق PDF 1.4، فحمايته تُعدّ اليوم متجاوزة؛ أعد تشفيره بـ AES-256 قبل الاعتماد عليه.
- لا يمكن تشفير PDF مشفّر أصلاً. ترفض الأداة ملفات PDF المحمية؛ افتحها أولاً بكلمة المرور في أداة فتح PDF.
- الحجم والصفحات محدودان. تقبل الأداة حتى 50 ميغابايت و1 000 صفحة.
- كلمة مرور قصيرة تُنبَّه. تعرض الواجهة تنبيهاً إذا كانت كلمة المرور أقل من 6 أحرف.
- نسيان كلمة المرور يعني فقدان المستند. لا توجد بوابة خلفية؛ المعالجة محلية بالكامل.
الصدق كعامل تميّز
كثير من الأدوات تركب ملصق AES-256. نفضّل أن نقول بدقة أي خوارزمية تُطبَّق وفي أي شروط. المستخدم المطّلع يختار أفضل: يعرف متى يضيف خطوة تنقيح، ومتى يتجنب RC4، ومتى يرسل كلمة المرور عبر قناة منفصلة.
إذا كنت تبحث عن حماية PDF دون إرساله إلى خادم:
وإذا كان عليك إزالة حماية تملكها بحق:
العتاد المناسب
YubiKey 5 NFC — مفتاح أمان FIDO2مصادقة ثنائية عتادية: تسجيل دخول مقاوم للتصيد للحسابات الحساسة.انتساب
Thetis Pro — مفتاح أمان FIDO2بديل اقتصادي NFC + USB-C للمصادقة الثنائية.انتساب
