O que este arquivo revela sobre você?

Todo arquivo carrega campos que ninguém digitou — um nome, o número de série de uma câmera, o ponto exato do planeta onde o obturador disparou. Leia os que apontam para uma pessoa, antes de mandar o arquivo para uma.

Arraste um documento ou imagem aqui, ou escolha um arquivo

PDF, Word, Excel, PowerPoint, JPEG, PNG, WebP, HEIC · máx. 10 MB · processado em memória, nunca armazenado

Não quer enviar nada seu? Veja o que uma foto comum entrega:

Um registro fictício feito em um parque público. Ninguém digitou nada disso, e o arquivo informa quem fotografou, qual é o celular dela, o número de série desse aparelho e o ponto exato do planeta onde ela estava. Baixe o arquivo e confira os achados na ferramenta que preferir.

Nós lemos o seu arquivo. Nunca o alteramos. A Tamperlens não tem nenhum caminho de código que escreva um documento — os bytes são lidos em memória, a resposta é JSON e nada sobrevive a ela. Não existe botão de "baixar uma cópia limpa" aqui, de propósito: produzir um arquivo alterado é outro produto, com outras promessas, e a promessa deste é que o seu arquivo volta exatamente como chegou. Como isso é garantido.

O que vaza de verdade

Metadados são escritos pelo programa, não por você — e é por isso que costumam dizer mais do que se pretendia. Nada do que vem abaixo é exótico ou escondido: é o que um salvamento comum, uma exportação comum e a câmera de um celular comum escrevem por padrão, e qualquer pessoa que receba o arquivo consegue ler, se pensar em olhar.

O seu nome — e o de quem realmente escreveu

Author, Creator, Company, Manager e, nos arquivos do Office, lastModifiedBy, que registra quem salvou o documento por último, e não quem o escreveu. É o campo que conta ao RH que um currículo passou pelas mãos de uma agência, conta à outra parte qual sócio de fato redigiu o contrato "do cliente" e conta ao leitor de um relatório publicado qual das três organizações realmente o produziu. Autores de comentários e de alterações controladas ficam ao lado disso, e um documento com as alterações já aceitas ainda pode nomear todo mundo que sugeriu uma.

A máquina, a conta e a pasta em que o arquivo estava

Fotos carregam HostComputer; PDFs e pacotes do Office carregam nomes de arquivo originais e, com frequência, um caminho inteiro da máquina que os produziu. Um caminho é uma frase: o nome da conta em Users\ costuma ser o nome real de uma pessoa, e a pasta acima do arquivo costuma dizer para que ele serve. "Demissão", "Processo", "Proposta B" — o diretório conta o que o documento tomou o cuidado de não contar.

Onde a foto foi tirada

Celulares gravam latitude e longitude no bloco GPS do EXIF por padrão, em graus, minutos e segundos, que a Tamperlens converte para graus decimais com sinal. A precisão é de um prédio, não de uma cidade. Uma foto de um cômodo é a foto de um endereço; um anúncio de marketplace fotografado em casa é a sua casa; um documento fotografado sobre a mesa da cozinha é aquela cozinha.

Qual câmera — e o fato de ser a mesma câmera

Make e Model são o par óbvio. BodySerialNumber, LensSerialNumber e ImageUniqueID são os que importam: um número de série é um identificador estável de um aparelho físico, então duas fotos publicadas com anos de distância e com dois nomes diferentes podem ser ligadas à mesma câmera. Anonimato que depende de ninguém comparar arquivos não é anonimato.

A miniatura da foto que você recortou

O EXIF carrega uma prévia pequena da imagem em um segundo diretório, e alguns editores atualizam a foto sem atualizar a prévia. Uma imagem recortada para tirar um rosto, uma tela ou um documento pode, portanto, continuar carregando a miniatura do enquadramento anterior ao recorte. Isso já foi fonte real e repetida de vazamento acidental, e é o único item desta página em que a maioria das pessoas simplesmente não acredita até ver no próprio arquivo.

Blocos de texto de PNG, e prompts escritos por extenso

O PNG tem uma seção de texto na qual qualquer programa pode escrever, e as ferramentas generativas escrevem muito: o modelo, os parâmetros e, com frequência, o prompt palavra por palavra. Ferramentas de captura de tela e de edição acrescentam as próprias cadeias. É metadado no sentido comum do termo, e ele é devolvido aqui exatamente como está gravado.

Dentro de um arquivo do Word, o metadado de outro arquivo

Um .docx é um ZIP, e uma foto colada dentro dele mantém o EXIF que a câmera escreveu — inclusive as coordenadas. A Tamperlens abre o pacote e lê esses também, então um documento que nunca chegou perto de uma câmera pode estar carregando a localização da sala em que uma imagem dele foi feita.

Para quem isso importa de verdade

"Confira os seus metadados" é um conselho que soa paranoico até ficar específico. Cinco situações em que os campos acima têm custo concreto.

  • Quem está se candidatando a uma vaga. Um currículo é lido por desconhecidos em empresas que você ainda não escolheu. É comum ele nomear o modelo de documento do empregador atual, a máquina em que você escreveu durante o expediente e — pelos carimbos de revisão — quando.
  • Inquilinos, compradores e quem responde a um anúncio. Os documentos que uma imobiliária ou um proprietário pedem são holerite, extrato e comprovante de residência, enviados a uma pessoa física sem política de retenção nenhuma. Fotos desses documentos carregam o endereço em que a foto foi tirada, que muitas vezes é justamente o endereço de onde você está saindo.
  • Advogados, e os clientes deles. Uma petição que nomeia o associado que a redigiu, a pasta do cliente e o número interno do caso é uma petição que contou à outra parte como o escritório funciona. Anexos montados a partir de fotos trazem junto as localizações delas.
  • Jornalistas e as fontes deles. Um documento vazado carrega a máquina em que foi copiado e, com frequência, o nome da conta de quem o copiou. Publicar o arquivo como recebido já acabou com a carreira de fontes, e os campos responsáveis estiveram visíveis o tempo todo.
  • Equipes que publicam sob a LGPD ou o GDPR. Nomes de autor, logins internos e nomes de máquina em um PDF publicado são dados pessoais divulgados sem que ninguém tenha decidido divulgá-los. É um vazamento pequeno, é inteiramente evitável e é do tipo que aparece em auditoria, não em manchete.

Como conferir um arquivo aqui

Arraste-o acima. O relatório abre com o resumo pessoal — as entradas que nomeiam uma pessoa, um lugar, um momento ou um aparelho, agrupadas em quem, onde, quando e qual aparelho — e as tabelas completas, contêiner por contêiner, vêm logo abaixo, porque um resumo que você não consegue conferir é só uma afirmação.

As coordenadas aparecem como link, e esse link é a única coisa desta página capaz de mandar algo para fora: nada é geocodificado, nenhum mapa é embutido, e um terceiro só fica sabendo das suas coordenadas se você decidir clicar. Quando o arquivo carrega uma miniatura embutida com localização própria, aquela linha aponta para as coordenadas dela, e não as da foto — as duas discordarem é exatamente o vazamento que vale a pena enxergar.

O que fazer quando algo vaza

Esta página não limpa o arquivo, então a parte honesta da resposta é o que fazer em outro lugar. Quatro opções, com os custos reais de cada uma.

  • Exportar de novo pelo programa que fez o arquivo. É o caminho mais confiável e o menos destrutivo. No Word, no Excel e no PowerPoint: Arquivo → Informações → Verificar Se Há Problemas → Inspecionar Documento, remova o que ele listar e exporte um PDF novo. O LibreOffice tem Remover informações pessoais ao salvar. O ponto é a exportação nova: editar o arquivo antigo deixa o histórico antigo dentro dele.
  • Imprimir em PDF. Funciona de verdade contra metadados de documento e histórico de revisões, e é uma troca real, não um ganho de graça: você mantém a camada de texto, mas perde marcadores, campos de formulário, marcação de acessibilidade e qualquer assinatura digital, e o arquivo novo passa a nomear o driver de impressão como produtor. Exportar para imagens achatadas vai além e custa o texto pesquisável, selecionável e legível por leitor de tela — isso é perda de acessibilidade, não uma nota de rodapé.
  • Remover o EXIF pelo sistema operacional. No Windows, clique com o botão direito no arquivo → Propriedades → Detalhes → Remover Propriedades e Informações Pessoais. No macOS, o app Fotos descarta a localização quando você a desliga nas opções de compartilhamento, e exiftool -all= foto.jpg remove tudo em qualquer sistema. Vale notar que algumas ferramentas removem as tags visíveis e deixam a miniatura embutida — por isso conferir de novo vale os trinta segundos.
  • Desligar na origem. A marcação de localização é uma configuração de câmera em todo celular, e a foto que nunca carregou coordenada é a única que você não pode esquecer de limpar.

Raspar metadados também é visível. Uma imagem sem metadado nenhum é, ela própria, um sinal no relatório de fraude, porque uma câmera escreve bastante coisa e um arquivo raspado não escreve nada. Isso não é acusação de nada — é uma das dezoito famílias de sinais, relatada com as causas benignas junto. Mas se o arquivo vai para quem analisa documentos, uma exportação limpa feita no programa de origem soa mais natural do que um original com os metadados raspados.

O que isto não consegue dizer

Um verificador de privacidade que sugere mais cobertura do que tem é pior do que nenhum. Cinco limites, ditos com todas as letras.

  • Ele lê os campos do arquivo, não o conteúdo. Um rosto ao fundo, uma placa de rua, uma tela com um e-mail aberto, um nome no corpo do texto — nada disso é metadado, e nada disso está aqui. A coisa mais comprometedora de uma foto costuma estar dentro da foto.
  • Texto embaixo de uma tarja preta é outra falha. Cobrir um nome com um retângulo esconde do leitor e não remove nada do arquivo. Isso tem página própria: a verificação de tarja.
  • Não há nota e não há veredicto de "pode compartilhar". Se um nome de autor é ou não um vazamento depende inteiramente de quem recebe o arquivo, e este produto não emite veredictos sobre a sua situação. Você recebe a lista; o julgamento é seu.
  • Um relatório vazio não prova arquivo limpo. Pode significar que os metadados foram raspados, que o programa de origem não escreve nenhum, ou que o formato carrega pouco. Ausência de evidência é relatada como ausência de evidência.
  • Um arquivo muito grande é resumido, não esgotado. Existem limites para que um único documento não ocupe o serviço, e quando um deles corta, o relatório diz. A contagem passa a ser um piso, não um total.

A mesma leitura, três perguntas

Um só motor lê o arquivo; a página em que você está decide qual pergunta ele responde. Esta aqui pergunta o que o arquivo diz sobre você. O visualizador de metadados é o mesmo relatório sem esse recorte — cada chave de cada contêiner, para quando você quer o quadro inteiro e não só o subconjunto pessoal. O verificador gratuito faz a pergunta oposta — se o documento foi editado depois de assinado, se as datas se contradizem — e roda dezoito famílias de sinais para respondê-la. E a verificação de tarja responde à outra metade de "o que há neste arquivo que eu não quis mandar": se as palavras embaixo das barras pretas continuam legíveis.

Na API

POST /api/v1/metadata devolve o mesmo relatório em JSON, incluindo o array personal que esta página coloca à frente e um par gps já decodificado quando o arquivo carrega um. Custa um documento da sua cota mensal e funciona sem chave de API, exatamente como o verificador. Veja a referência.

Perguntas frequentes

Como remover os metadados de um PDF?

Não é aqui — esta página lê arquivos e nunca os escreve. No Word, no Excel e no PowerPoint use Arquivo → Informações → Verificar Se Há Problemas → Inspecionar Documento, remova o que ele listar e exporte um PDF novo. No LibreOffice, marque Remover informações pessoais ao salvar. O que realmente derruba o histórico acumulado é a exportação nova, e não a edição do arquivo antigo, porque o histórico mora no arquivo que você está substituindo.

A minha foto tem coordenadas de GPS?

Arraste a foto acima e você vai ver. Os celulares gravam a localização no bloco GPS do EXIF a menos que a marcação de local esteja desligada na câmera, e a precisão é suficiente para apontar um prédio, não uma cidade. Aplicativos de mensagem e a maioria das redes sociais removem o EXIF no envio; anexos de e-mail, nuvens de arquivos, anúncios de marketplace e arquivos entregues a uma pessoa, não.

O meu arquivo é enviado ou armazenado?

O arquivo trafega por HTTPS, é lido em memória e nunca é gravado em disco. O relatório volta para o seu navegador e não fica em lugar nenhum. As coordenadas fazem parte desse relatório, então elas voltam para você e param aí: nada é geocodificado, nenhum mapa é embutido, e uma coordenada só abre um mapa de terceiros se você clicar. A política de privacidade diz isso com todas as letras.

Remover os metadados deixa o documento com cara de suspeito?

Pode deixar, e vale saber disso antes de remover. Uma imagem sem metadado nenhum é, ela própria, um sinal no relatório de fraude, porque uma câmera escreve bastante coisa e um arquivo raspado não escreve nada. Isso não é acusação de nada, mas se o arquivo vai para quem analisa documentos, uma exportação limpa feita no programa de origem soa mais natural do que um original com os metadados raspados. O guia de campo cobre essa família.

Vocês entregam uma cópia limpa do arquivo?

Não, e não há plano de esconder isso atrás de um plano pago. A Tamperlens não tem nenhum caminho de código que escreva um documento. Produzir um arquivo limpo é outro produto, com outra promessa, e um limpador que corrompe um PDF assinado em silêncio é pior do que um que não existe. Esta página diz o que está ali dentro; a correção pertence ao programa que fez o arquivo.