PDF met wachtwoord beveiligen
online.

Een wachtwoord op een PDF zetten

De redenen om een PDF op slot te doen gaan meestal over beslissen wie het mag openen. Een ondertekend contract gaat per e-mail door een keten waarin iemands persoonlijke telefoon zit — wie het bericht later per ongeluk doorstuurt, mag het bestand niet kunnen lezen. Een medisch dossier moet de kliniek uit op een USB-stick — als de stick verloren gaat, moet het bestand onleesbaar zijn voor de vinder. Een raadsmap met niet-publieke cijfers wordt gedeeld met drie externe adviseurs — alleen die drie zouden hem mogen openen, ook als het bestand later per ongeluk in een bredere thread terechtkomt. De taak hier is klein en voorspelbaar: een PDF nemen en een wachtwoord eisen voordat iemand hem opent.

Wat je terug krijgt is een echt versleuteld PDF — geen «alleen-lezen»-omhulsel. Elke viewer (Adobe Reader, Voorvertoning op macOS, ingebouwde van Chrome en Edge, elke mobiele lezer) vraagt het wachtwoord voordat ook maar één pagina wordt getoond. Zonder wachtwoord is het bestand onleesbare bytes.

Hoe sterk het slot is

Drie sterkteopties:

• AES-256 (standaard). Modern, aanbevolen. De huidige PDF-versleutelingsstandaard, door Acrobat gebruikt in elke «high security»-preset. Praktisch onkraakbaar zonder het wachtwoord — brute-forcen van een sterk wachtwoord tegen AES-256 is geen levensvatbare aanval op consumenten-hardware. Kies dit, tenzij er een specifieke compatibiliteitsreden is.
• AES-128. Ouder maar nog steeds sterk; gedefinieerd in PDF 1.7. Gebruik alleen als je lezer ouder is dan ongeveer 2012 en blokkeert op AES-256.
• RC4 40-bit. Verouderd; cryptografisch zwak — bekende aanvallen herstellen het bestand in minuten. Gebruik dit alleen als je werkt met een integratie (industriële scanner, heel oud archiefsysteem) die het expliciet vereist. Niet voor echte vertrouwelijkheid.

De versleutelingssterkte is onderdeel van het bestandsformaat. Een lezer die geen AES-256 spreekt, leest een AES-256-bestand helemaal niet — die toont «kan dit PDF niet openen». Daarom bestaan de niveaus: niet omdat sommige «veiliger voor belangrijke documenten» zijn en andere «minder», maar omdat compatibiliteit anders schaalt.

Hoe het wachtwoord werkt

Deze tool gebruikt hetzelfde wachtwoord zowel voor het open-wachtwoord (nodig om het bestand te bekijken) als voor het eigenaar-wachtwoord (nodig om de versleuteling later weg te halen). Bewuste vereenvoudiging — we houden de UI bij één veld. PDF ondersteunt technisch twee-niveau-wachtwoorden waarbij bekijken er één vraagt en bewerken een ander, maar in de praktijk gebruiken vrijwel alle echt vergrendelde PDF's één wachtwoord, en het tweede niveau levert meer verwarring op dan het oplost.

De rechten op het resulterende bestand staan wijd open: wie kan openen, kan ook printen, tekst kopiëren, formulieren invullen en wijzigen. Het slot gaat over binnenkomen, niet over beperkingen voor wie met het wachtwoord eenmaal binnen is. PDF-permission flags (no-printing, no-copying, etc.) zijn een zachte controle — viewers eerbiedigen ze alleen volgens conventie, en elke unlock-tool haalt ze er in seconden uit. We doen niet alsof dat een echte controle is, dus tonen we ze niet in deze flow.

Een wachtwoord kiezen

Hetzelfde advies als voor elk wachtwoord dat echte data beschermt:

• Lengte telt zwaarder dan complexiteit. Een passphrase van 16 tekens uit gewone woorden («correct paard batterij nietje») is moeilijker te brute-forcen dan een mix van symbolen van 9 tekens. Mik op 4+ woorden of 16+ tekens.
• Hergebruik geen wachtwoord van elders. Als de e-mail van de ontvanger gecompromitteerd raakt, probeert een aanvaller die jouw bestand en je andere wachtwoorden in één plek vindt, ze als eerste op deze PDF.
• Stuur het wachtwoord via een ander kanaal dan het bestand. Bestand per e-mail, wachtwoord via signal/SMS/telefoon. Als de e-mail wordt onderschept, is het wachtwoord dat niet.
• Bewaar het in een wachtwoordbeheerder. Vergeet je het, dan is er geen herstel — het bestand is voorgoed onleesbaar. PDF-versleuteling kent geen «reset via e-mail»-pad.

Hoe het versleutelde bestand eruitziet

De inhoud van het originele PDF — tekst, afbeeldingen, formuliervelden, annotaties, bladwijzers — blijft allemaal behouden door de versleuteling. Wanneer de ontvanger het bestand met het wachtwoord opent, ziet het er precies uit als de niet-versleutelde bron: dezelfde fonts, opmaak, selecteerbare tekst. Niets wordt gerasterd of opnieuw gebouwd.

De bestandsgrootte is ongeveer dezelfde als de bron, mogelijk een paar kilobyte groter door het encryption-dictionary. Versleutelde PDF's zijn met de meeste andere tools niet te wijzigen zonder eerst te ontgrendelen — dat is het punt. Om later opnieuw te bewerken, haal je het bestand met hetzelfde wachtwoord door unlock-pdf.

Wat overleeft en wat niet

• Alle pagina-inhoud overleeft. Tekst, afbeeldingen, fonts, opmaak, annotaties, formuliervelden, bladwijzers — exact bewaard.
• Bestaande digitale handtekeningen worden ongeldig. Versleutelen verandert de bytes van het bestand; een ingebedde handtekening verliest zijn binding. Moet een ondertekend document worden versleuteld, dan moet de ontvanger opnieuw verifiëren met de oorspronkelijke ondertekende kopie.
• Bestaande versleuteling wordt vervangen. Was het bron-PDF al versleuteld (met een bekend wachtwoord), dan haalt de tool die weg en zet nieuwe versleuteling met jouw wachtwoord op. Daarvoor moet de bron te openen zijn — versleutelde PDF's waarvan het wachtwoord niet bekend is, kunnen niet opnieuw worden versleuteld.
• Het oorspronkelijke bestand blijft onaangeroerd. Wat je downloadt is een nieuw vergrendeld bestand; de bron op schijf verandert niet.

Als iets er vreemd uitziet

• «Password is required». Het wachtwoordveld was leeg. Typ er een en probeer opnieuw.
• De ontvanger zegt «dit PDF gaat niet open». Waarschijnlijk een oude lezer die geen AES-256 spreekt. Voer opnieuw uit met AES-128 (of RC4 als het echt een oud industrieel systeem is).
• «Encrypted PDF can't be modified» in een andere tool. Werkt zoals bedoeld. Eerst met het wachtwoord door unlock-pdf, bewerken, daarna opnieuw beschermen.
• Je bent het wachtwoord vergeten. Geen herstel. PDF-versleuteling is bewust eenrichting zonder de sleutel. Staat de bron nog op je schijf, versleutel opnieuw met een nieuw wachtwoord en een wachtwoordbeheerder.

Praktische opmerkingen

1. Voor documenten die je eenmalig stuurt en vergeet is AES-256 met een lange willekeurige passphrase via je wachtwoordbeheerder het juiste antwoord. Genereren, bestand + wachtwoord via aparte kanalen sturen, beide archiveren in de beheerder.
2. Voor documenten die intern rondgaan, denk na of een wachtwoord het juiste gereedschap is. Binnen een organisatie doen toegangsregels aan de opslagkant (Drive-deling, SharePoint-rechten) doorgaans nuttiger werk — wachtwoorden op PDF's die door inboxen drijven, worden vergeten, belanden in onderwerpregels en verliezen hun nut.
3. Printen-en-fotograferen is een echte tegenstander. Een vergrendeld PDF stopt digitaal doorsturen, maar iedereen met het wachtwoord kan printen en fotokopiëren. Wie moet kunnen lezen maar het bestand nooit mag bezitten, vraagt om een ander systeem (DRM-viewer, alleen-scherm-platform).
4. Het oorspronkelijke bestand blijft onaangeroerd. Wat je downloadt is een nieuw vergrendeld bestand; de bron op schijf verandert niet.

Wat er met je bestand gebeurt

De versleuteling draait in je browser. Het wachtwoord verlaat dit tabblad niet — het wordt lokaal gebruikt om de versleutelingssleutel af te leiden, en die sleutel versleutelt het bestand in geheugen. Open DevTools en kijk naar het Network-tabblad tijdens de bewerking — geen uitgaande verzoeken met bestandsinhoud of het wachtwoord. Het PDF blijft op schijf; de vergrendelde versie is een nieuwe download ernaast.