Proteggere un PDF con Password Gratis: Guida Completa 2026

Un PDF si protegge davvero solo con la password di apertura (user password): è quella che cifra il contenuto e senza la quale il file resta una sequenza illeggibile. La password dei permessi (owner password), quella che «vieta» stampa, copia e modifica, non cifra nulla di più: è un flag che il lettore decide di rispettare, e qualunque utility da riga di comando lo ignora in un secondo. Scegli sempre AES-256, mai RC4, usa una passphrase lunga e — regola d'oro — non spedire mai la password nello stesso messaggio che contiene il documento. Puoi farlo gratis e direttamente nel browser con proteggere PDF con password, senza installare nulla.

La risposta breve, per chi ha fretta

Apri lo strumento di protezione, trascina il PDF, digita una password di apertura di almeno quindici caratteri, verifica che la cifratura selezionata sia AES-256, scarica il file. Dura meno di un minuto e il documento originale non lascia il dispositivo. Poi comunica la password al destinatario con un canale diverso da quello con cui hai inviato il file: una telefonata, un SMS, un messaggio su un'app di messaggistica.

Tutto il resto di questa guida serve a spiegarti perché questa sequenza è quella giusta, e soprattutto quali sono le trappole in cui cade quasi chiunque protegga un PDF per la prima volta.

Le due password del PDF: solo una protegge davvero

Lo standard PDF (ISO 32000, oggi alla versione 2.0) prevede nel dizionario /Encrypt due password distinte. La differenza tra le due è la cosa più fraintesa dell'intero argomento, ed è anche quella che fa la differenza tra un documento riservato e un documento che si crede riservato.

Password di apertura (user password)

È la password che il lettore chiede quando fai doppio clic sul file. Da essa viene derivata — attraverso una funzione di hash iterata — la chiave con cui è cifrato il contenuto: i flussi di testo, le immagini, gli allegati incorporati. Senza quella password non esiste alcun modo di ricostruire la chiave: il file è, letteralmente, rumore. Questo è l'unico livello che offre una protezione crittografica reale.

Password dei permessi (owner password)

È la password che sblocca le restrizioni: «non stampabile», «non copiabile», «non modificabile». Quando imposti solo questa password, la password di apertura resta vuota — e qui sta il punto tecnico decisivo: con una password di apertura vuota, qualunque software è in grado di derivare la chiave di cifratura da solo, perché la stringa vuota è nota a tutti. Il documento si apre senza chiedere nulla.

Che cosa impedisce allora la stampa? Un numero intero salvato nel dizionario di cifratura, il campo /P, i cui bit corrispondono ai singoli permessi. Un lettore conforme allo standard legge quel numero e disabilita di conseguenza il pulsante «Stampa». Ma è una scelta di cortesia del software, non un vincolo matematico. Basta un'utility come qpdf per riscrivere il file senza quel campo:

qpdf --decrypt documento-con-permessi.pdf documento-libero.pdf

Nessuna password richiesta, nessun attacco di forza bruta: il documento esce senza restrizioni perché non c'era nulla da forzare. Se ti hanno detto che «il PDF è protetto» e l'unica protezione impostata è quella dei permessi, il documento non è protetto.

Quando usare l'una, quando entrambe

• Documento riservato (contratto, busta paga, certificato medico, visura, documento d'identità scansionato): password di apertura, sempre.
• Documento pubblico ma non modificabile (listino, capitolato, modulo da compilare e restituire): password dei permessi. Serve a scoraggiare, non a proteggere. Usala sapendo che è un cartello «non calpestare l'aiuola», non un recinto.
• Entrambe: quando il documento è riservato e vuoi che chi lo riceve non ne salvi una copia modificata. Attenzione però al caso limite dei moduli compilabili, più avanti.

Come proteggere un PDF con password, passo per passo

La procedura vale per lo strumento nel browser; le varianti desktop e da terminale le trovi nella tabella e nelle sezioni successive.

1. Prepara il file nella sua forma definitiva. Comprimi, ruota, unisci, numera le pagine, applica l'OCR: tutte le operazioni che modificano il documento vanno fatte prima. Un PDF cifrato va decifrato per essere modificato, e ogni ciclo decifra-modifica-ricifra è un'occasione in più di lasciare una copia in chiaro nella cartella dei download.
2. Apri proteggere PDF con password e trascina il documento nell'area di caricamento. L'elaborazione avviene nel browser: il PDF in chiaro non viene inviato a nessun server.
3. Digita la password di apertura. Non una parola, una frase. mercoledì-ombrello-cantiere-14 è incomparabilmente più solido di Az3!x, ed è anche più facile da dettare al telefono.
4. Ripeti la password nel campo di conferma. Non esiste recupero: un refuso qui significa un documento che non riaprirai mai più.
5. Aggiungi, se serve, la password dei permessi e seleziona le operazioni da limitare. Devono essere diverse dalla password di apertura, altrimenti la distinzione perde senso.
6. Verifica il livello di cifratura: AES-256. Se lo strumento offre «compatibilità Acrobat 5» o «RC4 128 bit», stai scegliendo un algoritmo deprecato dallo standard.
7. Scarica il file protetto e — passaggio che quasi nessuno fa — riaprilo subito in un altro lettore per confermare che la password funzioni.
8. Archivia la password in un gestore di password, non in un file di testo sul desktop chiamato password.txt.
9. Invia il documento e la password separatamente.

AES-256, AES-128, RC4: cosa cambia davvero

Il PDF ha attraversato quattro generazioni di cifratura, e i file circolanti oggi le contengono tutte.

RC4 a 40 bit era il meccanismo dei PDF di prima generazione. La chiave è talmente corta che la password è irrilevante: si esplora l'intero spazio delle chiavi con hardware ordinario. Un PDF cifrato così va considerato in chiaro.

RC4 a 128 bit allunga la chiave ma resta legato all'algoritmo RC4, oggi abbandonato in tutti i protocolli seri, e a una derivazione della chiave basata su MD5 con poche iterazioni. Lo standard PDF 2.0 lo ha deprecato.

AES-128 (revisione 4 del gestore di sicurezza standard) introduce un cifrario solido. Il punto debole non è più l'algoritmo, ma la funzione che trasforma la password in chiave: è veloce, quindi chi tenta un attacco a dizionario può provare moltissime password al secondo.

AES-256 (revisione 6, quella dello standard attuale) cambia impostazione. Viene generata una chiave casuale a 256 bit per il file, e le password servono a «incartare» quella chiave attraverso una funzione di hash volutamente lenta e iterata. Il risultato pratico: ogni tentativo di indovinare la password costa molto di più all'attaccante.

Da ricordare: il livello di cifratura protegge dal crittografo, la lunghezza della password protegge da chi indovina. Un AES-256 con password Milano2026 cade a un attacco a dizionario; un AES-128 con una passphrase di venti caratteri casuali no. Scegli AES-256 e una passphrase lunga — non è un aut aut.

Una nota che serve spesso in Italia: la cifratura del PDF non è compatibile con il formato PDF/A, quello richiesto per la conservazione a norma. Un documento destinato all'archiviazione a lungo termine non va cifrato: la riservatezza in quel contesto si ottiene sui sistemi di conservazione, non sul singolo file.

Confronto dei metodi

Solo fatti verificabili: la funzione è supportata, non supportata, o supportata parzialmente.

Sull'ultima riga vale una precisazione: lo ZIP cifrato protegge il contenuto finché resta nell'archivio. Nel momento in cui il destinatario estrae il PDF, il file esce in chiaro e da lì viaggia senza alcuna protezione — inoltrato, salvato in cloud, allegato a un'altra mail. La cifratura nativa del PDF resta invece incollata al documento per tutta la sua vita. Per un allegato che sai già che verrà rigirato ad altri, è una differenza sostanziale.

Da terminale, per chi lavora in lotto

qpdf --encrypt "PASSWORD-APERTURA" "PASSWORD-PERMESSI" 256 -- originale.pdf protetto.pdf

Il 256 seleziona AES-256. Per proteggere un'intera cartella di documenti:

for f in *.pdf; do
  qpdf --encrypt "PASSWORD-APERTURA" "PASSWORD-PERMESSI" 256 -- "$f" "protetti/$f"
done

Attenzione: scritta così, la password finisce nella cronologia della shell. In uno script serio va letta da variabile d'ambiente o da un gestore di segreti.

Il meccanismo, in due minuti

Quando cifri un PDF, il file non diventa un blob unico illeggibile. La struttura resta: il PDF è un insieme di oggetti numerati con una tabella di riferimenti incrociati alla fine. La cifratura agisce oggetto per oggetto, sui flussi di contenuto e sulle stringhe. Lo scheletro — quanti oggetti ci sono, come sono collegati, quante pagine ha il documento — rimane leggibile.

Da qui derivano due conseguenze concrete.

La prima: i metadati possono restare in chiaro. Lo standard prevede un'opzione (/EncryptMetadata) che lascia i metadati XMP non cifrati, perché i motori di indicizzazione aziendali possano catalogare il documento senza aprirlo. Titolo, autore, software di produzione, date di creazione e modifica possono quindi essere visibili anche a chi non ha la password. Se il titolo del file è «Licenziamento Rossi — bozza», la cifratura non ti ha aiutato molto.

La seconda: la dimensione e la struttura non sono segrete. Un osservatore sa quante pagine ha il documento e quanto pesa. Nella stragrande maggioranza dei casi è irrilevante, ma vale la pena saperlo.

Password e GDPR: quello che conta davvero

L'articolo 32 del Regolamento europeo chiede misure tecniche adeguate al rischio, e cita esplicitamente la cifratura tra gli esempi. Non impone una soglia numerica: chiede una valutazione. Tradotto nella pratica quotidiana di uno studio, di un ufficio del personale o di un'associazione:

• Un allegato che contiene codice fiscale, indirizzo, dati retributivi o dati sanitari è un trattamento di dati personali. Una busta paga o un certificato medico inviati come PDF in chiaro a una casella sbagliata sono una violazione, e la casella sbagliata è l'incidente più comune che esista.
• La PEC garantisce l'opponibilità dell'invio e della consegna, non la riservatezza del contenuto rispetto a chi accede alla casella. Cifrare l'allegato e comunicare la password su un altro canale è una misura che si somma alla PEC, non che la sostituisce.
• Se un documento cifrato finisce al destinatario sbagliato e la password non ha viaggiato insieme, l'impatto sugli interessati è drasticamente ridotto. È esattamente questo il tipo di ragionamento che serve quando si valuta se una violazione vada notificata.
• Password condivise tra più documenti e più destinatari annullano il vantaggio: una password che conoscono in dieci non è più un controllo di accesso.

Per i documenti da cui vuoi rimuovere definitivamente delle informazioni — non nasconderle, rimuoverle — la cifratura non è lo strumento giusto: serve la redazione. Trovi lo strumento dedicato in cancellare testo dal PDF.

Casi limite

Il PDF è già protetto da password. Non puoi sovrapporre una seconda cifratura: bisogna prima rimuovere quella esistente con sbloccare PDF — cosa che richiede di conoscere la password — e poi ricifrare.

Il documento ha una firma digitale. La cifratura riscrive gli oggetti del file. Applicata dopo una firma PAdES, l'operazione altera i byte coperti dalla firma e la verifica può fallire nei lettori conformi. Se il documento ha valore probatorio, l'ordine corretto è: cifrare prima, firmare dopo — oppure lasciare il PDF firmato intatto e proteggere il canale di trasmissione. Se devi ancora firmare, parti da firmare PDF.

Il PDF è un modulo da compilare e restituire. Una password dei permessi che vieta la modifica blocca anche la compilazione dei campi, e il destinatario ti scriverà per dirti che il modulo «non funziona». Se il flusso prevede una compilazione, limita al massimo la stampa e la copia, mai la compilazione dei moduli. Per costruire il modulo, rendere PDF compilabile e compilare PDF.

Il PDF contiene allegati incorporati. Lo standard prevede anche una modalità in cui è cifrato solo il contenuto degli allegati, lasciando in chiaro il documento che li ospita. È una configurazione legittima ma rara: se il tuo obiettivo è la riservatezza del documento principale, verifica di non averla selezionata per errore.

Il documento deve andare in conservazione a norma. Come detto sopra, PDF/A e cifratura sono incompatibili. Conserva la versione in chiaro nel sistema di conservazione e cifra solo le copie che circolano via mail.

Devi archiviare il PDF su un servizio cloud con anteprima. Un file cifrato non genera anteprime e non è indicizzabile per la ricerca full-text. È il prezzo, corretto, della protezione — ma conviene saperlo prima di cifrare duecento fatture e scoprire che non le trovi più.

Errori frequenti

1. Impostare solo la password dei permessi. È l'errore numero uno ed è quello che ha generato questo articolo. Se nel tuo strumento hai compilato il campo «password proprietario» e lasciato vuoto quello «password apertura», il documento si apre a chiunque.

2. Inviare file e password nella stessa mail. Sembra ovvio, e succede continuamente — spesso nella forma «ti giro il documento, la password è la solita». Se la casella è compromessa, entrambi gli elementi sono compromessi insieme.

3. Usare una password che è già pubblica. La partita IVA, il codice fiscale, la data di nascita, il numero di protocollo: sono tutte informazioni che chi riceve il documento sbagliato conosce già o ricava in trenta secondi.

4. Cifrare prima di comprimere. Un compressore deve leggere e riscrivere i flussi immagine; su un file cifrato non può farlo senza decifrarlo. Risultato: o l'operazione fallisce, o produce una copia in chiaro come passaggio intermedio. L'ordine corretto è comprimere, poi cifrare — lo strumento è comprimere PDF, e i dettagli sulla compressione li trovi in comprimere PDF gratis.

5. Confondere protezione e redazione. Un rettangolo nero disegnato sopra un nome è un oggetto grafico sovrapposto: il testo sottostante è ancora nel file e si estrae con un copia-incolla. La cifratura non cambia nulla su questo punto — protegge il file dall'esterno, non nasconde parti del contenuto a chi ha la password.

6. Non testare il file protetto. Riaprilo. Su un altro dispositivo, se puoi. La quantità di documenti cifrati con una password che nessuno ricorda più è la ragione per cui esistono i gestori di password.

7. Fidarsi delle restrizioni sugli screenshot. Nessuna impostazione del PDF impedisce una schermata o una fotografia dello schermo. Se il tuo modello di rischio include il destinatario stesso, il PDF non è il formato giusto.

FAQ

La password dei permessi impedisce davvero la stampa? Impedisce la stampa nei lettori che rispettano lo standard, e sono la maggioranza di quelli grafici. Non la impedisce a chi apre il file con un'utility da riga di comando, con un convertitore online o con un lettore alternativo. Consideralo un deterrente contro la distrazione, non contro l'intenzione.

AES-128 è ancora sufficiente? Dal punto di vista dell'algoritmo, sì: non esistono attacchi pratici contro AES-128. Il problema è che nella revisione del PDF che lo usa la password viene trasformata in chiave con una procedura veloce, il che rende più economici gli attacchi a dizionario. Se puoi scegliere, scegli AES-256; se lo strumento che hai a disposizione offre solo AES-128, compensa con una passphrase molto più lunga.

Posso togliere la password se la conosco? Sì. È un'operazione di decifratura ordinaria: fornisci la password e ottieni una copia in chiaro. Lo strumento dedicato è sbloccare PDF.

Ho dimenticato la password: si recupera? No, e questa non è una limitazione dello strumento. Con AES-256 e una password non banale non esiste una scorciatoia matematica: restano solo i tentativi. Le utility di «recupero password» funzionano contro i vecchi PDF RC4 a 40 bit o contro password corte e prevedibili. Se il documento è tuo e la password è persa, l'unica strada è rigenerare il PDF dal file sorgente.

Un PDF protetto si apre su iPhone e Android? Sì. Anteprima su iOS, Google Drive e i lettori PDF per Android gestiscono la password di apertura standard. Il punto delicato non è l'apertura ma la digitazione: una passphrase con caratteri accentati e simboli è scomoda su tastiera mobile. Se il destinatario leggerà da telefono, preferisci parole separate da trattini.

La protezione con password basta per il GDPR? È una misura tecnica appropriata per l'invio di un allegato, non un programma di conformità. Vale insieme a: minimizzazione dei dati inclusi nel documento, verifica del destinatario prima dell'invio, canale separato per la password, e una politica su chi conosce quali password. La cifratura del singolo file è un tassello, non la risposta completa.

Proteggi il prossimo documento adesso

Trascina il PDF su proteggere PDF con password: cifratura AES-256, password di apertura e password dei permessi gestite separatamente, elaborazione nel browser senza caricare il documento in chiaro su un server, nessuna registrazione richiesta.

Se il documento non è ancora pronto, sistemalo prima: comprimere PDF per alleggerirlo, unire PDF per raggruppare gli allegati, filigrana PDF per marcare le copie di lavoro, firmare PDF per la sottoscrizione. Le condizioni complete sono su prezzi.