Difumina una cara o tapa texto en una foto de forma permanente

Por qué una caja negra en un documento no es una redacción

El fallo más repetido en todo este asunto no es técnico. Alguien abre un PDF, una presentación o una captura de pantalla, dibuja un rectángulo negro sobre un nombre, guarda el archivo y lo publica. El rectángulo es un objeto situado en una capa por encima del contenido. El contenido sigue en el archivo. Seleccionar el rectángulo y pulsar eliminar hace que el nombre reaparezca; copiar el texto también, y abrir el archivo en casi cualquier editor, igualmente.

Los bufetes de abogados lo han presentado así. Los departamentos gubernamentales lo han publicado así. Un periódico lo hizo con un pasaporte. El patrón siempre es el mismo, porque la herramienta que dibujó la caja hizo exactamente lo que se le pidió y nada en la interfaz indicaba que el original siguiera allí.

Lo mismo se aplica a un desenfoque usado como capa de ajuste en un editor de imágenes: la capa no es destructiva por diseño, que es precisamente la función, y los píxeles originales quedan debajo en el archivo de proyecto guardado. Exportar una copia acoplada lo soluciona; enviar el archivo de proyecto, no.

Esta herramienta no tiene capas. La región que dibujas se escribe en el búfer de píxeles —los píxeles se sustituyen, no se cubren— y después el archivo se codifica a partir de ese búfer. El resultado es una imagen nueva en la que el área cubierta contiene un color plano o un promedio, y no hay nada más en el archivo. Por eso el resultado también se vuelve a codificar en vez de modificarse parcialmente: una redacción que conserva los datos comprimidos originales no es una redacción.

Qué cobertura usar y cuándo un desenfoque no basta

Un desenfoque es una operación de promedio. Si promedias los mismos píxeles una segunda vez, has perdido información, pero no necesariamente suficiente información: si lo que se desenfocó procedía de un conjunto pequeño y conocido —los dígitos del cero al nueve, el alfabeto de una matrícula, una fuente monoespaciada que muestra un saldo bancario—, un atacante puede desenfocar cada candidato de la misma forma y compararlos. Ese ataque se ha demostrado repetidamente con texto ligeramente pixelado y con caras desenfocadas con radios pequeños, y por eso decir «lo hemos desenfocado» no es, por sí solo, una afirmación que merezca hacerse.

Esta herramienta destruye la región antes de desenfocarla. Tanto el modo pixelado como el modo de desenfoque promedian primero cada celda hasta obtener un solo color, de modo que la estructura fina de la que depende el ataque desaparece antes de que se ejecute el suavizado, y el tamaño de la celda es proporcional a la región en lugar de fijarse en un valor pequeño predeterminado. Eso hace que el resultado sea realmente irreversible. No lo hace invisible: una cara pixelada aún muestra una disposición de tonos de piel con forma de cabeza, y a veces eso basta para decir quién estaba y dónde.

Cuando la cuestión es que algo se ha eliminado y no debe quedar nada de ello, usa el bloque sólido. Es el único modo que indica honestamente al observador que se tomó una decisión, y es el único que no deja ningún residuo.

No hay un servicio de detección de caras detrás de esta página

La detección automática de caras en una página web tiene exactamente dos implementaciones. Una envía tu fotografía a un servidor que ejecuta un modelo —que es lo que hacen la mayoría de los sitios de «desenfoque de caras online gratis», justo lo contrario de lo que buscabas aquí—. La otra descarga un modelo en el navegador, lo que con un detector moderno supone varios megabytes a través de la conexión del teléfono antes de que la página pueda hacer nada.

Esta página no hace ninguna de las dos cosas. Cuando el navegador expone la experimental Shape Detection API —Chrome en Android y, detrás de una función experimental, en algunas versiones de escritorio—, el botón Escanear la utiliza y el resultado se etiqueta como una sugerencia. En cualquier otro caso, el botón no se muestra, porque un botón que no hace nada en silencio es peor que no tener botón.

Dibujar las áreas a mano tarda unos cinco segundos por cara y tiene una propiedad que ningún detector posee: has mirado la imagen. Un detector encuentra caras frontales. No encuentra a la persona de perfil en el borde del encuadre, al niño reflejado en una ventana, la cara de un cartel, el nombre de una acreditación ni la señal de tráfico que sitúa toda la fotografía.

Qué más puede identificar a alguien en el encuadre

Una caja sobre una cara es el principio del trabajo, no el final. Antes de publicar una fotografía en la que alguien no deba ser identificable, conviene revisar una vez más el encuadre para buscar las cosas que no son caras:

• Placas con nombres, acreditaciones, tarjetas de identificación y el reverso de una tarjeta visible a través de la funda de una acreditación.
• Pantallas —un portátil, un teléfono o un monitor del fondo— que con frecuencia muestran un cliente de correo electrónico.
• Reflejos en ventanas, espejos, hervidores, gafas y mesas pulidas.
• Números de casas, señales de tráfico, fachadas de tiendas, números de líneas de autobús y la vista desde una ventana.
• Matrículas de vehículos, incluso las parciales, y vehículos distintivos.
• Tatuajes, cicatrices y joyas, que identifican y rara vez se consideran como tales.
• Documentos, sobres, recetas y etiquetas de entrega sobre una superficie.
• Uniformes y distintivos que reducen la identidad de una persona a un lugar de trabajo en un turno concreto.

Y después está la parte que no aparece en el encuadre: los metadatos del archivo. Una fotografía con todas las caras cubiertas aún puede contener las coordenadas del lugar donde se tomó y el número de serie de la cámara que la tomó. Esta herramienta elimina todo eso como efecto secundario, porque el resultado se codifica a partir de los píxeles; la herramienta de metadatos es el lugar donde puedes consultar qué había antes de que desaparezca.

Las capturas de pantalla son el caso más habitual

La mayoría de los archivos que pasan por un redactor no son fotografías de personas. Son capturas de pantalla: un extracto bancario para una reclamación, un hilo de mensajes como prueba, un informe de errores con los datos de un cliente en pantalla o una factura para justificar un gasto. Las capturas de pantalla contienen un conjunto específico de elementos que la gente olvida.

La barra de estado es el primero. El nombre del operador, la intensidad de la señal, el porcentaje de batería y la hora exacta están en los pocos píxeles superiores y, juntos, sitúan a una persona y un momento. Lo segundo es la interfaz del navegador: una URL con un token de sesión, una lista de pestañas abiertas que describe toda una tarde, un menú desplegable de autocompletado o una barra de marcadores con las herramientas internas de una empresa. Lo tercero es la interfaz circundante: una barra lateral con nombres de contactos, una notificación o un selector de cuentas que muestra una dirección personal junto a otra de trabajo.

Cúbrelo todo y usa PNG como formato de salida para cualquier cosa que contenga texto. JPEG comprime mal los bordes del texto, y una captura redactada que resulta difícil de leer es una captura redactada que volverán a enviar sin redactar.

Qué ocurre con el archivo, paso a paso

El navegador decodifica la imagen y aplica la rotación EXIF a los píxeles, de modo que lo que ves en pantalla es lo que se exporta. Dibujar una región registra un rectángulo en las coordenadas de la imagen, no en las de la pantalla, así que la cobertura queda en el lugar correcto independientemente de cómo se escale la vista previa para ajustarse a tu ventana. Al aplicar los cambios, se vuelve a dibujar la imagen a resolución completa, se sustituyen los píxeles de cada región y se codifica el resultado.

No se sube nada en ningún momento y no hay ninguna solicitud que la página pudiera realizar: los módulos de /js/tools/ no contienen código de red. Una vez cargada la página, puedes desconectar por completo la red y todo seguirá funcionando; esa es la versión de la afirmación que puedes verificar en vez de aceptar sin más.

Si una fotografía es lo bastante sensible como para redactarla antes de enviarla, normalmente también lo es como para no guardarla en el carrete. Para eso sirve la bóveda: archivos cifrados en el dispositivo, fuera de la fototeca. Y la página de cifrado indica todos los parámetros en lugar de llamarlo de «grado militar».