Alguém precisa de uma cópia do seu passaporte, do contrato de arrendamento, de um extrato bancário, de um formulário assinado — e o pedido acaba com «envie só por e-mail». Antes de anexar seja o que for, saiba isto: um e-mail simples é um postal. É copiado por vários servidores pelo caminho e depois fica na pasta Itens enviados e na caixa de entrada do destinatário enquanto qualquer um de vocês mantiver a conta.

A forma segura demora mais alguns minutos. Envie o documento como PDF protegido por palavra-passe, envie a palavra-passe por outro canal (uma mensagem de texto ou uma chamada), oculte o que o destinatário não precisa antes de o proteger e apague a cópia enviada quando já tiver cumprido o seu papel. O resto desta página acompanha cada passo no iPhone e no Mac, com ferramentas gratuitas que nunca enviam o seu ficheiro.

Porque é que o e-mail é a escolha errada para uma digitalização do passaporte

O e-mail não foi criado para segredos. Foi criado para levar uma mensagem de um computador a outro através das máquinas que estivessem pelo meio — e é por isso que ainda está em todo o lado, e por isso que é uma má opção para uma fotografia do seu passaporte. Eis o que acontece a um anexo depois de carregar em enviar:

  • É copiado, não movido. O seu fornecedor de e-mail fica com uma cópia. O fornecedor do destinatário fica com outra. Cada dispositivo com a aplicação de e-mail descarrega a sua.
  • Nunca expira. O ficheiro fica em Itens enviados e na caixa de entrada deles até alguém o apagar de propósito. Anos depois, se uma das contas for invadida, a digitalização continua ali, encontrável pela palavra «passaporte».
  • Está a um toque de ser reencaminhado. Um agente imobiliário reencaminha-o ao gestor do prédio, que o reencaminha ao proprietário, que tem um assistente. Ninguém quis fazer mal, e agora há seis cópias em caixas de entrada de que nunca ouviu falar — exatamente o tipo de caixa de entrada que os criminosos procuram.

A encriptação entre servidores de e-mail que a maioria dos fornecedores usa hoje ajuda contra alguém a escutar a ligação. Não faz nada quanto às cópias paradas nos dois lados, que é onde mora o risco real. Por isso o próprio ficheiro tem de levar a sua proteção — assim, cada cópia perdida é apenas ruído para quem não tiver a palavra-passe.

O método seguro em cinco passos

Este é o método inteiro; as secções abaixo desenvolvem cada passo.

  1. Digitalize bem. Use um scanner a sério — o que está incorporado na aplicação Notas no iPhone, ou uma aplicação de scanner em que confie — em vez de uma fotografia rápida, para obter um PDF plano, recortado e legível. (Não sabe que aplicações de scanner respeitam a sua privacidade? Veja como avaliar uma.)
  2. Oculte o que não faz falta. Pergunte ao destinatário de que campos precisa mesmo e tape permanentemente o resto — a sério, não com um marcador transparente.
  3. Proteja o PDF com palavra-passe. A encriptação moderna de PDF (AES-256) é o mesmo padrão usado na banca online; o ponto fraco é sempre a palavra-passe, por isso escolha uma frase curta de palavras sem relação em vez do nome de um animal de estimação.
  4. Envie o ficheiro por e-mail; mande a palavra-passe por outra via. Anexe o PDF protegido e envie-o. Depois envie a palavra-passe por mensagem, ou diga-a ao telefone. Nunca a ponha no mesmo e-mail — nem num e-mail a seguir. Mesma caixa de entrada, mesmo problema.
  5. Apague a cópia enviada e peça-lhes para apagarem a deles. Quando confirmarem que têm o que precisam, apague a mensagem de Itens enviados e do Lixo. Um «depois de arquivar, pode apagar este e-mail?» de uma linha é um pedido normal, e a maioria dos profissionais cumpre-o.

A ordem importa: oculte antes de encriptar (não consegue editar um ficheiro trancado) e encripte antes de anexar (o anexo é o que é copiado para todo o lado).

Como proteger um PDF com palavra-passe antes de o enviar (Mac, iPhone, sem Adobe)

Não precisa de um editor de PDF pago para isto. Duas formas gratuitas:

Num Mac, com a Pré-visualização. A aplicação que abre PDFs por predefinição consegue encriptar um em poucos cliques:

  1. Abra o PDF na Pré-visualização.
  2. Escolha Ficheiro → Exportar.
  3. Clique em Permissões (em versões mais antigas do macOS, marque antes a caixa Encriptar).
  4. Ative Exigir palavra-passe para abrir o documento, escreva a palavra-passe duas vezes e clique em Aplicar, depois em Guardar.

Dê um nome novo ao ficheiro exportado, abra-o uma vez para confirmar que pede a palavra-passe e anexe esse.

Num iPhone, ou em qualquer dispositivo, no navegador. Ficheiros e Fotografias não têm botão para «adicionar palavra-passe», e o conselho habitual — enviar a digitalização do passaporte para um site qualquer de «proteger PDF» — é uma contradição: estaria a entregar o documento que quer proteger, mais a palavra-passe, ao servidor de um desconhecido.

A nossa ferramenta gratuita para proteger PDF faz o trabalho inteiramente no seu navegador. Abra-a no Safari no iPhone ou em qualquer computador, escolha o PDF, defina uma palavra-passe e guarde a cópia encriptada. A encriptação corre no seu dispositivo; o ficheiro e a palavra-passe nunca saem dele. Também verifica o próprio trabalho — volta a abrir o resultado com a sua palavra-passe para confirmar que desbloqueia, e sem ela para confirmar que recusa — e mostra um medidor simples de força enquanto escreve.

De qualquer forma, o resultado é um PDF encriptado padrão: a Pré-visualização, o Chrome, as aplicações de e-mail e os iPhones pedem todos a palavra-passe e abrem-no normalmente, por isso o destinatário não precisa de nada especial.

Escolher a palavra-passe. O comprimento vale mais do que a esperteza. Quatro palavras sem relação («cobre-lanterna-terça-raposa») são muito mais fortes do que «P@ssw0rd1» e mais fáceis de dizer ao telefone. Não a reutilize de outro sítio e aponte-a — não há «esqueci-me da palavra-passe» para um ficheiro encriptado, e é exatamente isso que torna a proteção real.

Oculte primeiro — e porque é que caixas pretas em capturas de ecrã não são ocultação

A maioria dos pedidos precisa de muito menos do que o documento inteiro. Um senhorio a verificar identidade precisa do seu nome, fotografia e data de validade — normalmente não do número do documento nem do código de barras. Pergunte «de que campos precisa mesmo?» e retire o resto.

Aqui está a armadilha: desenhar uma caixa preta sobre texto na maioria das aplicações não remove o texto. Acrescenta um retângulo por cima dele. Num PDF, qualquer pessoa pode selecionar o texto por baixo da caixa e colá-lo noutro sítio, ou simplesmente apagar o retângulo. Uma «ocultação» transparente é pior do que nenhuma, porque parece segura.

Duas formas de ocultar a sério:

  • Para um PDF: use a nossa ferramenta para ocultar PDF. Desenhe uma caixa sobre qualquer coisa sensível, ou escreva o nome ou número que quer eliminar e marque todas as ocorrências de uma vez. O resultado é reconstruído página a página como imagens planas com as caixas gravadas — já não há texto por baixo para copiar. Corre no seu navegador, por isso o ficheiro fica no seu dispositivo.
  • Para uma única imagem no iPhone: abra-a, toque em Marcação, cubra o campo com uma forma preta sólida a opacidade total (nunca o marcador), depois faça uma captura de ecrã do resultado e envie a captura, não o original editado. Uma captura de ecrã são píxeis planos; não há camada por baixo para descolar. O nosso guia sobre partilhar documentos a partir do iPhone explica o processo.

Só depois, e mesmo assim, proteja com palavra-passe o ficheiro ocultado.

Formas de enviar um documento, comparadas

«Seguro» quer dizer três coisas diferentes: protegido enquanto o ficheiro viaja, protegido enquanto está parado no computador de alguém, e se alguma vez o consegue retirar.

Como envia Protege em trânsito? Protege em repouso? Controla a eliminação? Bom para
Anexo de e-mail simples Normalmente, entre servidores de e-mail Não — legível em cada caixa de entrada onde cair Não Papéis de pouco risco: um recibo, uma autorização assinada
PDF protegido por palavra-passe por e-mail Sim Sim — ilegível sem a palavra-passe Não, mas cópias perdidas são inúteis sem a palavra-passe Identificação, extratos, contratos, quando o e-mail é o único canal que aceitam
Serviço de e-mail encriptado Sim Sim, se ambos os lados o usarem Em parte — alguns deixam expirar mensagens Pessoas a quem escreve regularmente e que já estão preparadas para isso
Portal seguro de envio fornecido pelo destinatário Sim Sim — entra no sistema deles, não numa caixa de entrada Não, mas nada fica numa caixa de entrada Bancos, repartições públicas, recursos humanos, clínicas
Ligação de iCloud ou Drive com validade Sim Depende das definições da ligação Sim — desligue a ligação quando quiser Ficheiros de que algumas pessoas precisam por tempo limitado
Aplicação de mensagens com encriptação de ponta a ponta Sim Nos dois telemóveis, como mensagem normal Em parte — mensagens temporárias, se ambos as usarem Envios rápidos entre pessoas que confiam nos telemóveis uma da outra
Fax, ou entregar em mão Fax: não; em mão: sim Depende do que fizerem com ele Não Repartições que o exigem; originais que têm de ser vistos

Três linhas merecem uma nota:

«Como envio um e-mail encriptado?» O que as pessoas querem dizer é encriptação de ponta a ponta — só o remetente e o destinatário conseguem ler a mensagem — e isso exige que ambos usem um serviço compatível. Serve para um contabilista a quem escreve todos os meses; para um envio único a um senhorio, o PDF protegido por palavra-passe dá-lhe o mesmo resultado prático sem nada para instalarem.

Ligações com validade. Partilhar um PDF do iCloud Drive ou do Google Drive e depois desligar a ligação no mês seguinte é a opção crescida quando várias pessoas precisam de um contrato por tempo limitado — fica com o ficheiro; elas veem-no. (O Mail Drop num Mac faz algo parecido para anexos enormes, com uma ligação que expira ao fim de 30 dias.) Uma ligação é uma comodidade, não um substituto de uma palavra-passe — quem apanhar a ligação apanha o ficheiro.

O portal. Se o destinatário tem uma página segura de envio — a maioria dos bancos, repartições públicas e departamentos de recursos humanos tem — use-a, mesmo que o e-mail fosse mais rápido. Ela existe precisamente para os seus documentos não viverem na caixa de entrada de alguém. Quando estiver a pedir um crédito habitação, o portal é para onde devem ir os recibos de vencimento e os extratos; o fio de e-mail é para perguntas.

O que não enviar por e-mail de todo

Algumas coisas são demasiado perigosas para e-mail mesmo com palavra-passe, porque uma palavra-passe adivinhada ou um destinatário descuidado entregam uma identidade completa:

  • O número completo do seu documento nacional de identidade ou número de segurança social, data de nascimento e uma identificação com fotografia juntos. Cada um sozinho já é um problema; juntos são um kit de identidade. Se um formulário precisar mesmo dos três, é para isso que servem os portais e as idas presenciais.
  • Dados de acesso ao banco, códigos PIN de cartões ou códigos de utilização única. Nenhuma empresa legítima pede isto por e-mail, nunca. Um pedido desses é uma burla, não burocracia.
  • Qualquer coisa que o destinatário não tenha pedido. «Mando tudo para ficarem com isso» multiplica as cópias em circulação. Envie o que foi pedido, nada mais.
  • Documentos de outra pessoa sem autorização. O passaporte do seu cônjuge, o processo clínico do seu filho — se não é seu, pergunte primeiro.

Quando o outro lado insiste no e-mail

Senhorios, coordenadores de recursos humanos e gestores de crédito pedem e-mail porque é fácil para eles, não porque seja seguro para si. A maioria aceita uma pequena mudança se pedir com clareza:

«Claro que envio. Vou anexá-lo como PDF protegido por palavra-passe e envio-lhe a palavra-passe por mensagem — este é o número certo? Depois de o arquivar, pode apagar o e-mail?»

Não está a acusar ninguém de nada; está a descrever o que vai fazer. A resposta habitual é «está bem» — e se tiverem um portal que se esqueceram de mencionar, é nesta altura que se lembram dele.

Se resistirem — «o nosso sistema só aceita anexos simples» — ainda tem opções:

  • Envie na mesma o PDF protegido. Qualquer leitor de PDF o abre depois de escreverem a palavra-passe. «O nosso sistema» quase sempre quer dizer a caixa de entrada de uma pessoa.
  • Envie menos. Oculte até ficarem só os campos exatos de que precisam, para que mesmo um anexo desprotegido revele o mínimo.
  • Peça o canal seguro deles. «Onde costumam pedir aos clientes para enviar a identificação?» muitas vezes faz aparecer uma página de envio que a pessoa com quem fala não usa no dia a dia.
  • Divida o risco. Envie por e-mail o documento ocultado e leia o detalhe em falta — o número do documento, por exemplo — ao telefone.

O guia de cenário sobre arrendar uma casa explica que documentos um senhorio pode pedir razoavelmente, para distinguir um pedido normal de um excessivo.

Depois de enviar: onde deve viver a sua própria cópia

A tarefa está feita. Agora olhe para o rasto que ficou no telemóvel: uma fotografia do passaporte no rolo da câmara, «Scan 14.pdf» em Ficheiros, uma cópia desprotegida em Transferências, o e-mail em Itens enviados. Cada uma é uma cópia solta da sua identidade, visível para qualquer pessoa a quem entregue o telemóvel desbloqueado e para cada aplicação com acesso às fotografias.

  1. Apague o e-mail enviado de Itens enviados e depois do Lixo.
  2. Apague as cópias de trabalho desprotegidas — a digitalização original e qualquer versão ocultada — de Ficheiros, Transferências e Fotografias (e depois de Apagados recentemente).
  3. Guarde uma cópia-mestra num sítio trancado. Vão voltar a pedir-lhe este documento; não o digitalize de novo de cada vez. Uma casa trancada quer dizer um sítio que pede Face ID, mantém o ficheiro encriptado e não mostra o seu passaporte numa grelha de fotografias de almoços — eis porque isso importa.

Esse último trabalho é para que serve o Paperlock. Guarde o passaporte ou o contrato uma vez e fica encriptado no telemóvel atrás do Face ID, com miniaturas desfocadas para documentos sensíveis até confirmar que é você. Da próxima vez que um banco pedir, exporte-o como PDF na hora, oculte e proteja-o, e envie — sem procurar nas Fotografias, sem cópias soltas deixadas para trás (como funciona). Essa cópia-mestra também é a que vale a pena guardar em cópia de segurança como deve ser.

Faça os cinco passos uma vez e demoram três minutos. Faça-os sempre e uma caixa de entrada roubada — sua ou deles — deixa de ser o fim do mundo.