Tienes entre manos un contrato de trabajo, un informe médico o un extracto bancario que recortar, y la idea de soltarlo en la primera web que encuentres te frena. Esa duda es sana: una vez subido el archivo, ya no controlas ni su tiempo de conservación ni quién accede a él. Una herramienta PDF local ejecutada en el navegador responde precisamente a ese problema — siempre que se entienda qué cubre técnicamente «local», y qué no.
Qué significa «local» concretamente
En una aplicación web, el código se ejecuta en tu navegador, en tu máquina. Cuando sueltas un PDF en una herramienta construida así, el archivo se lee en memoria como un búfer binario (ArrayBuffer) y luego lo manipulan bibliotecas JavaScript. Document Flare usa para ello pdf-lib (fork @cantoo/pdf-lib) para unir, extraer o rotar, y pdfjs para renderizar las páginas.
El cálculo pesado se descarga en Web Workers: hilos de ejecución separados que reciben los bytes del documento, producen el resultado y lo devuelven al hilo principal — todo sin salir de la página. En ningún momento de esa cadena una petición de red transporta tu archivo. El resultado se ensambla en memoria y se ofrece para descargar mediante un objeto Blob local.
Consecuencia práctica: un archivo que no sale no puede ser conservado, registrado ni expuesto del lado del servidor. La privacidad ya no descansa sobre una política escrita sino sobre una ausencia técnica de emisión.
Trodat ID Protector — sello de privacidadRodillo de tinta que oculta direcciones e identificadores en papel antes de destruirlos.afiliado
Lo que circula igualmente por la red
«Local» no significa «cero peticiones». Conviene distinguir dos cosas que el marketing mezcla con gusto: el documento, que se queda en tu dispositivo, y la aplicación, que llega forzosamente por la red.
- La carga de la página: HTML, JavaScript, fuentes e imágenes transitan desde el alojamiento (aquí Cloudflare) en cada visita. Un service worker guarda en caché el shell de la aplicación para el uso sin conexión, pero sin guardar tus documentos.
- Los modelos de IA y OCR: algunas funciones descargan un modelo en el primer uso. El OCR se apoya en tesseract.js, cuyos modelos de idioma están autoalojados y luego se guardan en IndexedDB; los embeddings de texto descargan un modelo ONNX de unos 115 MB desde HuggingFace y luego lo sirven desde la caché del navegador. El tráfico va del servidor al navegador — el modelo baja, tu texto no sube. La inferencia misma se ejecuta en tu dispositivo.
- La publicidad y la medición de audiencia: solo en las páginas públicas (inicio, guías, páginas legales), el sitio carga el script de AdSense — las peticiones de anuncios condicionadas al consentimiento — y Plausible, una medición de audiencia sin cookies. Las rutas
/tools/están aisladas: sin AdSense, y el rastreador de páginas vistas es un no-op que no transmite nombre, tamaño ni contenido de archivo.
El modelo de amenaza, honestamente
El procesamiento local elimina una frontera de confianza: la del servidor remoto. Es real, pero acotado.
Contra qué protege: la interceptación en tránsito hacia un servicio tercero, el almacenamiento del lado del operador, las fugas de bases de datos, la reutilización comercial de tus documentos, los accesos internos en el proveedor.
Contra qué no protege: un equipo ya comprometido (malware, keylogger), una extensión de navegador que lee el contenido de las páginas, un administrador de sistemas en una máquina de empresa, o la propia aplicación si su código fuera malicioso — sigues confiando en el código que el sitio te sirve, en cada carga. El procesamiento local desplaza la confianza; no la elimina.
Para un documento ordinario, una subida transitoria a un servicio serio puede ser aceptable. Para piezas jurídicas, médicas o contables, la diferencia es estructural: simplemente no hay servidor que comprometer en el bucle del documento.
Cómo verificarlo tú mismo
La promesa «tus archivos se quedan privados» se prueba en cinco minutos en la pestaña Red de las herramientas de desarrollo: suelta un PDF, lanza la operación y busca una petición POST o PUT que transporte más o menos el peso del archivo. Su ausencia es la señal esperada; las peticiones restantes cargan la aplicación o sus modelos. El mismo protocolo aplicado a las grandes herramientas en la nube está en adónde van tus archivos.
Complemento sencillo: recarga la página y luego corta la conexión. Una herramienta realmente local sigue funcionando; una herramienta de servidor se detiene en el momento de enviar el archivo. Para comparar este enfoque con las suites en la nube cláusula a cláusula, consulta la alternativa local a iLovePDF.
Límites que conviene conocer
- La verificación de red prueba la ausencia de envío en el momento observado; no documenta una versión futura. Repite la prueba antes de un documento realmente sensible.
- Las funciones de IA/OCR necesitan la descarga inicial del modelo: sin conexión y sin caché previa, no están disponibles.
- Las capacidades declaradas remotas (conversiones Office, resumen por IA) están marcadas
REMOTE_OPTIONALen el catálogo, exigen un consentimiento explícito y actualmente están excluidas de las versiones públicas — el resto del catálogo es local. - El procesamiento en memoria impone límites de tamaño propios de cada herramienta (por ejemplo 50 MB para las conversiones declaradas en el catálogo de capacidades).
Para un uso corriente — unir, extraer, rotar — el enfoque local de la herramienta de unir PDF y de sus vecinas del catálogo se verifica directamente, sin tener que creer a nadie.
El material adecuado
Trodat ID Protector — sello de privacidadRodillo de tinta que oculta direcciones e identificadores en papel antes de destruirlos.afiliado
Amazon Basics — destructora corte cruzadoCorte cruzado suficiente para documentos corrientes; precio contenido.afiliado
YubiKey 5 NFC — llave de seguridad FIDO2Autenticación en dos pasos por hardware: acceso resistente al phishing.afiliado
