Hướng dẫn Dọn PDF an toàn — gỡ JavaScript & mã độc nhúng

PDF không chỉ là giấy tờ điện tử. Đặc tả của định dạng này cho phép file chứa mã JavaScript, tệp đính kèm ẩn, và lệnh tự chạy ngay khi vừa mở. Những thứ đó có công dụng hợp lệ trong biểu mẫu tương tác, nhưng cũng là đường mà file PDF gửi kèm email lạ dùng để làm phiền máy bạn.

Dọn PDF an toàn gỡ các thành phần đó ra khỏi file và giữ nguyên nội dung đọc được.

Mở công cụ Dọn PDF an toànXóa mã/JavaScript độc nhúng

Mục lục

Dọn trong bốn thao tác

Nạp một file PDF chưa đặt mật khẩu — mỗi lần một file.

Kiểm lại đúng file chưa; nhầm thì bấm "Đổi file".

Bấm "Dọn sạch PDF".

Đọc báo cáo rồi bấm "Tải PDF". File kết quả giữ tên gốc, nên bản đã dọn không đè lên file cũ.

Báo cáo nói gì

Phần đáng giá nhất không phải file tải về, mà là bản báo cáo — nó cho biết file bạn vừa nhận có gì bên trong.

File sạch thì báo cáo ghi "Không phát hiện mã/hành vi tự chạy nào — file vốn đã sạch." Phần lớn tài liệu bình thường rơi vào nhóm này.

Ngược lại, một hoá đơn hay công văn mà có JavaScript nhúng và lệnh tự chạy khi mở là chuyện bất thường. Lúc đó việc cần làm không dừng ở dọn file: hỏi lại người gửi xem họ có thật sự gửi file này không.

Khi nào nên dọn trước khi mở

• File PDF đến từ email không rõ nguồn, hoặc từ một địa chỉ quen nhưng nội dung thư khác thường.
• File tải từ trang web lạ, đặc biệt các trang chia sẻ tài liệu miễn phí.
• File nhận qua nhóm chat đông người, không rõ ai là người tạo ra đầu tiên.
• File sắp đưa vào hệ thống nội bộ, gửi cho khách hàng, hoặc lưu vào kho tài liệu dùng chung — dọn một lần để không phát tán tiếp thứ mình chưa kiểm.

Với tài liệu bạn tự tạo từ Word hay phần mềm quen dùng thì không cần, những file đó không tự nhiên có mã nhúng.

Gỡ gì, giữ gì

Công cụ dùng thư viện pdf-lib chạy ngay trong trình duyệt, duyệt qua cấu trúc file và gỡ đúng các điểm mà định dạng PDF cho phép gắn hành vi tự động: lệnh tự mở, các hành vi bổ sung ở cấp tài liệu và cấp trang, cây tên chứa JavaScript, tệp nhúng, và các action kiểu JavaScript hoặc Launch gắn trên chú thích.

Đó đều là những thành phần chuẩn trong đặc tả PDF (ISO 32000) — công cụ không đoán mò, nó biết chính xác chỗ nào trong cấu trúc file có thể chứa hành vi tự chạy và gỡ đúng chỗ đó.

Phần lệnh vẽ chữ và ảnh của từng trang không bị đụng tới. Tài liệu sau khi dọn vẫn đọc được y như cũ, chữ vẫn chọn và tìm kiếm được, dung lượng gần như không đổi.

File không rời khỏi máy bạn: sau khi trang đã tải xong, ngắt mạng rồi dọn vẫn chạy.

Đừng trông vào công cụ này cho những việc sau

Đây không phải phần mềm diệt virus. Nó gỡ các điểm móc chạy mã trong cấu trúc PDF, không quét toàn máy và không nhận diện mã độc theo mẫu. Máy vẫn cần phần mềm bảo vệ bình thường.

Liên kết lừa đảo trong tài liệu vẫn còn. Một đường link trỏ tới trang giả mạo ngân hàng là nội dung trang, không phải hành vi tự chạy — công cụ giữ nguyên. Vẫn phải tự nhìn kỹ trước khi bấm vào bất cứ link nào trong file người lạ gửi.

File đặt mật khẩu không mở được. Gỡ mật khẩu trước — nhưng nếu là file lạ mà lại có mật khẩu, hãy hỏi người gửi trước đã.

Biểu mẫu PDF điền được có thể mất tính năng. Một số biểu mẫu dùng JavaScript để tính toán hoặc kiểm tra dữ liệu nhập; dọn xong thì phần tự động đó không còn. Với biểu mẫu chính thức từ cơ quan mà bạn tin tưởng, không cần dọn.