¿Cómo verificar si un PDF fue alterado antes de presentarlo en un juicio?

Presentar un documento PDF ante un tribunal, una entidad pública, una empresa o un comité evaluador implica, casi siempre, una afirmación tácita: el archivo que se entrega es el mismo que se redactó, firmó o aprobó en su momento. Cuando existe la posibilidad de que alguien haya modificado el contenido, reemplazado páginas, alterado fechas o borrado firmas, esa confianza se rompe y surge la necesidad de comprobarlo con métodos objetivos. La expresión "ver si un pdf fue alterado antes de presentarlo" describe una preocupación creciente en litigios, auditorías administrativas, concursos públicos, procesos de due diligence y conflictos contractuales. La buena noticia es que, aunque no existe un botón mágico que dictamine la veracidad legal de un documento, sí existen técnicas técnicas rigurosas que permiten detectar indicios sólidos de manipulación, comparar versiones, documentar el estado exacto del archivo y generar un informe profesional que respalde cualquier reclamación. La clave está en entender qué información técnica aporta el PDF y cómo interpretarla sin sobreestimar lo que prueba por sí sola.

Un archivo PDF no es una imagen fija y opaca; por dentro es un contenedor estructurado que almacena texto, fuentes, imágenes, objetos incrustados, anotaciones, firmas digitales y un bloque de metadatos con información sobre su creación y modificaciones. Cada vez que un programa de edición guarda cambios, el software puede reescribir partes de esa estructura, actualizar la fecha de modificación, añadir un nuevo productor o creador, incrementar el contador de versiones y, en ocasiones, dejar rastros en los objetos XMP (un estándar de metadatos en XML que muchos editores conservan de forma acumulativa). Estos rastros son involuntarios: la mayoría de quienes alteran un PDF se concentran en el contenido visible y olvidan que el contenedor registra qué herramienta lo tocó por última vez, en qué momento y con qué versión concreta de software. Extraer y analizar esos metadatos es el primer paso de cualquier verificación seria.

El campo más conocido es la fecha de modificación, que aparece en las propiedades del documento y que muchos usuarios consultan de forma superficial. Sin embargo, ese campo es trivial de falsificar: cualquier persona con un editor básico puede cambiar la fecha del sistema y volver a guardar el archivo. El valor real del análisis de metadatos no reside en un único campo aislado, sino en la coherencia del conjunto. Si el PDF dice haber sido creado con Adobe Acrobat el 3 de marzo de 2023, modificado por última vez el 15 de enero de 2024, producido por una librería específica y con un identificador de documento único (el PDF ID), pero las propiedades XMP muestran que una herramienta de edición libre lo tocó el 20 de enero de 2024 a las 23:14, el conjunto ya revela una inconsistencia. Ningún campo aislado prueba fraude, pero la discrepancia entre el diccionario de información del PDF y los metadatos XMP es un indicio técnico que conviene documentar.

Además de las fechas, conviene revisar los campos de creador (Creator) y productor (Producer). El creador suele identificar la aplicación original que generó el PDF, mientras que el productor indica la librería que lo procesó por última vez. Un documento que supuestamente fue escaneado en una oficina en 2019 no debería listar como productor a una herramienta de optimización de 2023. Tampoco debería mostrar un productor de firma digital si nunca se incorporó una firma visible. Las discrepancias entre el contenido declarado y el software que realmente manipuló el archivo son pistas que, combinadas con la inspección del árbol de objetos internos, permiten orientar una investigación. En FilesAudit, la extracción de metadatos de PDF se presenta de forma estructurada y legible, de modo que un analista, un abogado o un auditor puede comparar fechas, productores, versiones y otros campos técnicos sin necesidad de instalar herramientas especializadas ni interpretar manualmente la estructura binaria del archivo.

El segundo pilar de la verificación es el hashing criptográfico. Un hash es una función matemática que produce una huella digital de longitud fija a partir del contenido del archivo: si un solo byte cambia, el hash cambia por completo y de forma impredecible. Los algoritmos más utilizados en documentación técnica son SHA-256, MD5 y CRC32. El procedimiento consiste en calcular el hash del PDF original (o de la versión que se considera auténtica) y compararlo con el hash del PDF que se va a presentar. Si coinciden, los dos archivos son idénticos a nivel binario. Si difieren, algo cambió, ya sea el texto, una imagen incrustada, una firma, un objeto oculto o incluso un metadato interno. El hash no dice qué se modificó, pero establece con certidumbre técnica si el archivo es el mismo o si es distinto.

Para que esta comparación tenga sentido es imprescindible contar con una versión de referencia. Si solo se dispone del PDF sospechoso y no existe una copia anterior, el hash sirve para fijar el estado actual del archivo y demostrar que no cambia a partir de ese momento, pero no permite retroceder en el tiempo. Por eso, en muchos flujos de trabajo profesionales, conviene calcular y conservar el hash de los documentos en el momento en que se firman, se envían o se archivan. En litigios donde se intercambian decenas de PDF, mantener un registro de los valores SHA-256 de cada entrega permite responder con rapidez si una de las partes afirma que el archivo presentado no es el que originally se remitió. Es una práctica barata, rápida y enormemente eficaz para prevenir disputas sobre integridad documental.

Cuando se sospecha de una alteración específica, los hashes pueden aplicarse también a fragmentos del archivo. Un PDF se compone de objetos indirectos: páginas, fuentes, imágenes, anotaciones, catálogos. Un análisis avanzado puede identificar qué objetos cambiaron entre dos versiones y cuáles permanecen idénticos. Si una de las páginas incluye una firma manuscrita escaneada y el resto del texto coincide, el análisis de objetos puede revelar que solo cambia la página con la firma, lo que apunta a un reemplazo selectivo. Este nivel de detalle requiere herramientas especializadas y suele estar fuera del alcance de un usuario no técnico, pero los informes generados por FilesAudit recopilan la información técnica necesaria para que un perito informático pueda llevar ese análisis más lejos si la situación lo exige. Lo importante es que la documentación intermedia se genere de forma fiable y se conserve con una marca temporal.

La marca temporal es el tercer pilar. Un hash por sí solo no indica cuándo se calculó ni en qué estado se encontraba el archivo en ese momento. Para reforzar la verificación, conviene acompañar el hash de una referencia temporal precisa: la fecha y hora en que se procesó el archivo, el huso horario y, si es posible, una prueba de que ese cálculo se realizó en un instante determinado. Los informes en PDF que genera FilesAudit documentan la fecha de análisis, los valores hash y los metadatos extraídos, de modo que el lector del informe puede reconstruir la cadena de verificación. Esto no equivale a una prueba legal de antigüedad del documento original, pero sí acredita cuándo se examinó y qué se encontró en ese momento, lo que resulta útil cuando se discute si un PDF se modificó entre dos fechas clave.

Las firmas digitales son otro elemento que conviene revisar. Un PDF puede incorporar una firma criptográfica que cubre todo o parte del documento y que, si es válida, permite demostrar que el archivo no cambió desde que se firmó. Si la firma es inválida o ha cambiado, se detecta al instante. Sin embargo, la presencia de una firma válida solo garantiza que la porción cubierta no se modificó tras la firma; no demuestra que el firmante fuera quien decía ser ni que el contenido fuera verdadero. La verificación de firmas digitales, por tanto, se complementa con el análisis de metadatos y hashes, pero no lo sustituye. En casos donde se manipulan páginas no cubiertas por la firma, un análisis de hashes por página o por objeto puede detectar cambios que la firma global no protege.

También conviene examinar las imágenes y objetos incrustados. Un PDF puede contener imágenes en formato JPG, PNG o TIFF, y cada una de esas imágenes conserva sus propios metadatos, incluidos posibles datos EXIF con fecha de captura, modelo de cámara o coordenadas GPS. Si una imagen incrustada en un PDF supuestamente escaneado en 2020 tiene metadatos EXIF con fecha de 2024, la coherencia se rompe. De igual forma, si una imagen fue alterada o reemplazada, su huella hash interna no coincidirá con la de un original conocido. Para quienes trabajan con imágenes dentro de documentos, conviene revisar también guías especializadas como la de metadatos de archivos JPG, ya que las técnicas de análisis de imágenes incrustadas son similares a las que se aplican a archivos sueltos.

Las anotaciones y comentarios son otro frente habitual de manipulación. Un PDF puede contener anotaciones invisibles, capas ocultas, campos de formulario rellenados o eliminados, y marcas de revisión. En ocasiones, quien altera un documento elimina una anotación crítica o añade una falsa. El análisis del árbol de anotaciones puede mostrar qué anotaciones existen, quién las creó (si el autor está registrado) y en qué fecha. Aunque estos datos también pueden falsificarse, su presencia o ausencia inesperada es un indicio más. Un documento que según su propietario nunca tuvo comentarios y que muestra rastros de anotaciones eliminadas en su estructura interna ofrece una pista técnica relevante que conviene documentar.

En el contexto de la presentación de pruebas, el formato del informe es casi tan importante como su contenido. Un juez, un árbitro o un comité no va a interpretar manualmente un volcado binario ni una línea de comandos; necesita un documento claro, fechado y estructurado que explique qué se analizó, qué se encontró y qué significan los valores técnicos. Por eso, generar un informe en PDF que incluya los hashes, los metadatos y la marca temporal del análisis es una práctica recomendada. En FilesAudit, el informe se genera automáticamente a partir del archivo analizado y reúne la información técnica en un formato pensado para ser adjuntado a un escrito, compartido con la contraparte o archivado como evidencia documental. El informe no concluye si el PDF es auténtico ni determina quién tiene razón, pero aporta los elementos técnicos necesarios para que alguien con autoridad pueda valorarlo.

Conviene diferenciar con claridad entre lo que la técnica puede afirmar y lo que queda fuera de su alcance. El análisis técnico puede demostrar que dos versiones de un PDF tienen hashes distintos, que los metadatos son inconsistentes, que una imagen incrustada tiene una fecha posterior a la del documento o que la firma digital es inválida. No puede, por sí solo, identificar a la persona que realizó la modificación, demostrar su intención ni establecer la veracidad legal del contenido. Esa valoración corresponde a un juez o a un árbitro, normalmente con ayuda de un perito. Por eso, en cualquier informe conviene usar un lenguaje cauteloso: hablar de "indicios de modificación" o "inconsistencias técnicas" en lugar de "prueba de fra