有人需要你的护照、租约、银行对账单或者签名表格的复印件——而这个请求的结尾，总是一句轻描淡写的“直接发邮件过来就行”。在你添加任何附件之前，先要知道一件事：普通电子邮件就是一张明信片。它在传送途中会被复制到好几台服务器上，然后一直留在你的“已发送”文件夹和对方的收件箱里——只要你们当中任何一个人还保留着邮箱账号，它就一直在那里。
安全的做法要多花几分钟。把文档做成加密码的 PDF 再发送，密码换一条渠道告诉对方（发条短信或者打个电话），在加密之前先把对方不需要的内容永久遮盖掉，等事情办完后删除已发送的副本。本页接下来的内容，会一步一步讲解在 iPhone 和 Mac 上具体怎么做，用的全是不会上传你文件的免费工具。
为什么护照扫描件不该默认走邮件
电子邮件不是为秘密而生的。它的设计初衷，是让一条消息从一台电脑出发，经过途中遇到的任何机器，传到另一台电脑——这正是它至今无处不在的原因，也是它不适合承载护照照片的原因。点击发送之后，附件会经历以下这些事：
- 它是被复制的，不是被移动的。 你的邮箱服务商会留下一份，对方的服务商会留下一份，每一台装了邮件应用的设备还会各自下载一份。
- 它永远不会过期。 文件一直躺在你的“已发送”文件夹和对方的收件箱里，直到有人特意去删除它。多年以后，如果其中任何一个账号被攻破，那份扫描件还在原地，搜“护照”两个字就能立刻找到。
- 它离被转发出去只有一次点按的距离。 租房中介把它转发给物业经理，物业经理转发给房东，房东手下还有个助理。从头到尾谁也没有恶意，可转眼之间，六份副本已经散落在六个你闻所未闻的收件箱里——而那恰恰就是犯罪分子最爱翻找的地方。
如今大多数服务商在邮件服务器之间采用的加密传输，确实能防住那些在传输线路上窃听的人。但它管不了已经落在两端的那些副本，而真正的风险恰恰就藏在那里。所以，文件本身必须自带保护——这样一来，每一份散落出去的副本，对没有密码的人来说都只是一堆毫无意义的乱码。
五步走的安全做法
完整的做法就是这五步，下面几节会逐步展开细讲。
- 扫得干净。 使用真正的扫描功能——iPhone 备忘录里自带的那个，或者你信得过的扫描应用——而不是随手拍张照片，这样才能得到一份平整、裁好边、清晰可读的 PDF。（不确定哪些扫描应用尊重你的隐私？这里教你如何判断。）
- 遮住不需要的内容。 先问清楚对方到底需要哪些信息，然后把其余的部分永久涂黑——要真正地涂掉，而不是拿半透明的荧光笔划一下就完事。
- 给 PDF 加密码。 现代 PDF 加密（AES-256）和网上银行使用的是同一套标准；链条上的薄弱环节永远是密码本身，所以挑一个由几个互不相干的词组成的短语，别用宠物的名字。
- 邮件发文件，密码走别的路。 把加好密码的 PDF 添加为附件发出去，然后用短信把密码发过去，或者在电话里亲口告诉对方。绝对不要把密码放进同一封邮件——跟进的邮件里也不行。同一个收件箱，同一个问题。
- 删掉已发送的副本，也请对方删掉他们的。 等对方确认已经收到所需的东西之后，把邮件从“已发送”里删掉，再从废纸篓里彻底清掉。一句“用完后请删除这封邮件”是非常正常的请求，大多数专业人士都会照办。
顺序很重要：先遮盖，再加密（加了锁的文件没法再编辑）；先加密，再添加附件（被到处复制的正是附件本身）。
发邮件前怎么给 PDF 加密码（Mac、iPhone，无需 Adobe）
这件事完全不需要付费的 PDF 编辑器。有两种免费的做法：
在 Mac 上，用预览。 那个默认打开 PDF 的应用，点几下鼠标就能完成加密：
- 在预览中打开这份 PDF。
- 选择文件 → 导出。
- 点击权限（在较旧版本的 macOS 上，改为勾选加密复选框）。
- 打开需要密码才能打开文稿，输入两遍密码，点击应用，然后存储。
给导出的文件起一个新名字，先打开一次确认它真的会要求输入密码，然后再把这个文件添加为附件。
在 iPhone 或任何设备上，用浏览器。 文件和照片应用里都没有“加密码”的按钮，而网上常见的建议——把护照扫描件上传到某个来路不明的“PDF 加密”网站——本身就是一个自相矛盾的主意：那等于把你想保护的文件连同密码一起，亲手交给了陌生人的服务器。
我们免费的 PDF 加密工具 则完全在你的浏览器里完成这项工作。在 iPhone 的 Safari 里或者任何一台电脑上打开它，选择那份 PDF，设置密码，保存加密后的副本。加密过程在你的设备上运行，文件和密码都不会离开设备半步。它还会检查自己的工作成果——用你的密码重新打开输出文件，确认能正常解开；不用密码再试一次，确认会被拒绝——并且在你输入密码时，显示一个一目了然的强度指示条。
无论用哪一种方法，得到的都是一份标准的加密 PDF：预览、Chrome、各种邮件应用和 iPhone 都会提示输入密码并正常打开，对方不需要安装任何特别的东西。
挑一个好密码。 长度胜过花哨。四个互不相干的词（“铜灯-星期二-狐狸”）远比“P@ssw0rd1”强得多，在电话里念出来也容易得多。不要和任何其他地方重复使用，还要把它写下来——加密文件没有“忘记密码”这一选项，而这恰恰说明保护是真实有效的。
先遮盖——为什么截图里的黑框并不等于遮盖
大多数请求所需要的，远不是整份文件。房东核实身份，需要的是你的姓名、照片和有效期——通常并不需要证件号码或条形码。问一句“你们实际需要哪些信息？”，然后把其余的都去掉。
陷阱在这里：在大多数应用里给文字画一个黑框，并没有真正删掉文字，只是在它上面叠了一个矩形。在 PDF 里，任何人都能选中黑框下面的文字并复制出来，或者干脆把那个矩形删掉。半透明的“遮盖”比不遮还要糟，因为它看起来很安全，让你放松了警惕。
有两种真正遮盖的办法：
- 对于 PDF 文件： 使用我们的 PDF 遮盖工具。在敏感内容上画一个框，或者输入你想去掉的姓名或号码，一次性标记所有出现的位置。输出的文件会逐页重建为平面图片，黑框直接烧进画面里——下面再没有文字可供复制。它在你的浏览器里运行，文件始终留在你的设备上。
- 对于 iPhone 上的单张图片： 打开图片，轻点标记，用不透明度拉满的实心黑色图形盖住那一栏（绝对不要用荧光笔），然后对处理结果截屏，把截图发出去，而不是编辑过的原图。截图是扁平的像素，底下没有图层可以掀开。我们关于从 iPhone 安全分享文档的指南里有完整的操作步骤。
然后——也只有在这之后——再给遮盖好的文件加上密码。
几种发送方式的对比
“安全”这个词，其实指的是三件不同的事：文件在传输途中受保护，文件停在别人电脑上时受保护，以及你还能不能把它收回来。
| 发送方式 | 传输途中受保护？ | 静置时受保护？ | 你能控制删除？ | 适合 |
|---|---|---|---|---|
| 普通邮件附件 | 通常可以，在邮件服务器之间 | 不能——它落进的每一个收件箱里都可读 | 不能 | 无关紧要的文书：一张收据、一份签好字的同意书 |
| 加密码的 PDF 走邮件 | 可以 | 可以——没有密码就读不了 | 不能，但散落的副本没有密码就是废物 | 身份证件、对账单、合同，当对方只接受邮件时 |
| 加密邮件服务 | 可以 | 可以，前提是双方都在使用 | 部分——有些服务可以设置邮件过期 | 经常通信、而且双方都配置好了的人 |
| 对方提供的安全上传入口 | 可以 | 可以——直接进入他们的系统，不进收件箱 | 不能，但也没有东西留在收件箱里 | 贷款机构、政府部门、人事部门、诊所 |
| 带有效期的 iCloud 或 Drive 链接 | 可以 | 取决于链接的设置 | 可以——随时可以关闭链接 | 几个人在限定时间内需要查看的文件 |
| 端到端加密的即时通讯应用 | 可以 | 在双方手机上，作为普通消息保存 | 部分——前提是双方都用阅后即焚 | 彼此信任对方手机的人之间的快速发送 |
| 传真，或当面递交 | 传真：不能；当面：可以 | 取决于对方拿到后怎么处理 | 不能 | 有硬性要求的机构；必须出示的原件 |
其中有三行值得多说几句：
“怎么发加密邮件？” 人们问这个问题时，指的其实是端到端加密——只有发件人和收件人能够读到内容——而这需要双方都使用支持它的服务。对于每月都要通信的会计师来说，这很合适；但对于一次性给房东发份文件，加密码的 PDF 能达到同样的实际效果，对方什么都不用安装。
带有效期的链接。 从 iCloud Drive 或 Google Drive 分享 PDF，下个月再把链接关掉——当几个人需要在限定时间内查看同一份合同时，这是成熟的做法：文件留在你手里，他们只能查看。（Mac 上的 Mail Drop 对超大附件做的是类似的事情，链接在 30 天后过期。）不过链接只是便利，不是密码的替代品——拿到链接的人，就拿到了文件。
上传入口。 如果对方有安全上传页面——大多数贷款机构、政府部门和人事部门都有——那就用它，哪怕发邮件更快一些。它存在的意义，恰恰就是不让你的文件住在别人的收件箱里。当你申请房贷时，工资单和对账单应该走上传入口；邮件往来只用来沟通问题。
有些东西压根不该走邮件
有些东西即使加了密码也不适合用邮件发送，因为只要一次密码被猜中、一个粗心的收件人，就会把一套完整的身份拱手送人：
- 完整的身份证号或社会安全号码、出生日期，再加上带照片的身份证件，三样凑在一起。 单独一样已经是个麻烦；凑在一起就是一套现成的身份工具包。如果某个表格确实三样都要，那正是上传入口和当面办理存在的意义。
- 银行登录信息、银行卡密码或一次性验证码。 任何正经机构都永远不会通过邮件索要这些东西。凡是这么要求的，都是诈骗，不是文书工作。
- 对方没要求的东西。 “我干脆全发过去，省得他们再找我要”只会让流传在外的副本成倍增加。要什么就发什么，多一样都不给。
- 未经本人同意的他人文件。 你配偶的护照、孩子的病历——不是你自己的东西，先问过本人再说。
当对方坚持要用邮件
房东、人事专员和贷款专员要求用邮件，是因为这对他们来说方便，而不是因为对你安全。只要你说得明白直接，大多数人都会配合这一点小小的改动：
“没问题，我这就发。我会把文件做成加密码的 PDF 添在附件里，密码用短信发给你——是这个号码吗？你存档之后，能把这封邮件删掉吗？”
你没有在指责任何人，只是在描述你接下来要做的事情。通常的回答就是一句“行”——而如果他们有忘了提起的上传入口，往往就在这一刻想起来了。
如果对方推拒——“我们的系统只接受普通附件”——你仍然有办法：
- 照常发加密码的 PDF。 输入密码之后，任何 PDF 阅读器都能打开它。“我们的系统”几乎总是某个人的收件箱。
- 少发一点。 遮盖到只剩他们确实需要的那几栏，这样即使附件没加保护，暴露出去的也是最少量。
- 问他们要安全渠道。 “你们一般让客户在哪里上传身份证件？”这么一问，往往能问出一个和你对接的人平时不常用的上传页面。
- 把风险拆开。 邮件发遮盖过的文件，缺的那一项——比如证件号码——在电话里念给他们听。
关于租房的情景指南，列出了房东可以合理索要哪些文件，帮你分清正常请求和得寸进尺。
发完之后：你自己的副本该放在哪里
差事办完了。现在看看这件事在你手机上留下的痕迹：相册里的护照照片、文件应用里的“扫描件 14.pdf”、下载文件夹里没加保护的副本、已发送文件夹里的那封邮件。每一份都是你身份的散件，任何拿到你解锁手机的人都能看见，每一个拥有相册权限的应用也能看见。
- 删掉已发送的邮件，从“已发送”里删除，再从废纸篓里彻底清空。
- 删掉没加保护的工作副本——原始扫描件和遮盖过的版本——从文件、下载和照片应用里删除（别忘了“最近删除”）。
- 只留一份主副本，放在上锁的地方。 这份文件以后还会被人要，别每次都重新扫描一遍。所谓上锁的家，意味着一个需要 Face ID 才能进入、文件加密保存、不会把你的护照混在一堆午餐照片里展示的地方——为什么这很重要。
最后一项工作，正是 Paperlock 的用途。护照或租约存一次，就加密保存在你的手机里，由 Face ID 把守；敏感文件的缩略图会保持模糊，直到确认是你本人。下次贷款机构来要，当场导出 PDF、遮盖、加密、发送——不用翻遍照片应用，也不会留下散落的副本（工作原理）。这份主副本，也正是最值得认真备份的那一份。
五个步骤做一次，只需要三分钟。每次都照做，被盗的收件箱——不管是你的还是对方的——就不再是世界末日。