Desfoque um rosto ou cubra um texto em uma foto, permanentemente

Por que uma caixa preta em um documento não é uma edição definitiva

A falha mais repetida em todo este assunto não é técnica. Alguém abre um PDF, uma apresentação ou uma captura de tela, desenha um retângulo preto sobre um nome, salva e publica. O retângulo é um objeto em uma camada acima do conteúdo. O conteúdo ainda está no arquivo. Selecionar o retângulo e pressionar delete traz o nome de volta, assim como copiar o texto ou abrir o arquivo em quase qualquer editor.

Escritórios de advocacia já fizeram isso. Departamentos governamentais já publicaram documentos assim. Um jornal fez isso com um passaporte. O padrão é sempre o mesmo, porque a ferramenta que desenhou a caixa fez exatamente o que foi solicitada a fazer, e nada na interface indicava que o original ainda estava ali.

O mesmo se aplica a um desfoque usado como camada de ajuste em um editor de imagens: a camada não é destrutiva por definição, o que é justamente o recurso, e os pixels originais ficam abaixo dela no arquivo de projeto salvo. Exportar uma cópia achatada resolve o problema; enviar o arquivo de projeto, não.

Esta ferramenta não tem camadas. A região que você desenha é gravada no buffer de pixels — os pixels são substituídos, não cobertos — e o arquivo é então codificado a partir desse buffer. O resultado é uma nova imagem em que a área coberta contém uma cor uniforme ou uma média, e não há mais nada no arquivo. É também por isso que o resultado é recodificado em vez de receber um remendo: uma edição que preserva os dados comprimidos originais não é uma edição definitiva.

Qual cobertura usar e quando o desfoque não é suficiente

O desfoque é uma operação de média. Calcular a média dos mesmos pixels uma segunda vez faz você perder informação, mas não necessariamente informação suficiente: se o que foi desfocado veio de um conjunto pequeno e conhecido — os dígitos de zero a nove, o alfabeto de uma placa, uma fonte de largura fixa exibindo um saldo bancário — um invasor pode desfocar cada candidato da mesma maneira e comparar. Esse ataque já foi demonstrado repetidamente em textos levemente pixelizados e em rostos desfocados com raios pequenos, e é por isso que dizer “nós desfocamos” não é, por si só, uma afirmação confiável.

Esta ferramenta destrói a região antes de desfocá-la. Tanto os modos de pixelização quanto os de desfoque primeiro reduzem cada célula a uma única cor, portanto a estrutura fina da qual o ataque depende desaparece antes mesmo da etapa de suavização, e o tamanho da célula é proporcional à região, em vez de ser fixado em algum padrão pequeno. Isso torna o resultado realmente irreversível. Não o torna invisível: um rosto pixelizado ainda mostra uma disposição de tons de pele com formato de cabeça, e isso às vezes basta para indicar quem estava onde.

Quando a intenção for mostrar que algo foi removido e que nada sobre aquilo deve sobreviver, use o bloco sólido. É o único modo que informa honestamente ao observador que uma decisão foi tomada, e o único sem qualquer resíduo.

Não há um serviço de detecção de rostos por trás desta página

A detecção automática de rostos em uma página web tem exatamente duas implementações. Uma envia sua fotografia para um servidor que executa um modelo — é o que a maioria dos sites de “desfoque de rostos online grátis” faz, e é o oposto do que trouxe você até aqui. A outra baixa um modelo para o navegador, o que, em um detector moderno, significa vários megabytes por uma conexão de celular antes que a página possa fazer qualquer coisa.

Esta página não faz nenhuma das duas coisas. Quando o navegador disponibiliza a Shape Detection API experimental — Chrome no Android e, em algumas versões para desktop, atrás de uma flag — o botão Scan a utiliza, e o resultado é identificado como uma sugestão. Em todos os outros casos, o botão não é mostrado, porque um botão que silenciosamente não faz nada é pior do que nenhum botão.

Desenhar as áreas manualmente leva cerca de cinco segundos por rosto e tem uma propriedade que nenhum detector possui: você olhou para a imagem. Um detector encontra rostos de frente. Ele não encontra a pessoa de perfil na borda do quadro, a criança refletida em uma janela, o rosto em um cartaz, o nome em um cordão ou a placa de rua que localiza a fotografia inteira.

O que mais no quadro identifica alguém

Uma caixa sobre um rosto é o começo do trabalho, não o fim. Antes de publicar uma fotografia em que alguém não deveria ser identificável, vale revisar o quadro mais uma vez em busca das coisas que não são rostos:

• Crachás com nome, cordões, cartões de identificação e o verso de um cartão visível através da capa do cordão.
• Telas — de um laptop, celular ou monitor ao fundo — que frequentemente mostram um cliente de e-mail.
• Reflexos em janelas, espelhos, chaleiras, óculos e mesas polidas.
• Números de casas, placas de rua, fachadas de lojas, números de linhas de ônibus e a vista de uma janela.
• Placas de veículos, inclusive as parciais, e veículos característicos.
• Tatuagens, cicatrizes e joias, que identificam pessoas e raramente são consideradas dessa forma.
• Documentos, envelopes, receitas e etiquetas de entrega sobre uma superfície.
• Uniformes e distintivos que restringem a pessoa a um local de trabalho em um determinado turno.

E então há a parte que não está no quadro: os metadados do arquivo. Uma fotografia com todos os rostos cobertos ainda pode conter as coordenadas de onde foi feita e o número de série da câmera que a registrou. Esta ferramenta remove tudo isso como consequência, porque o resultado é codificado a partir dos pixels — a ferramenta de metadados é o lugar para ver o que havia ali antes que desapareça.

Capturas de tela são o caso mais comum

A maioria dos arquivos que passam por um redator não são fotografias de pessoas. São capturas de tela: um extrato bancário para uma contestação, uma conversa como evidência, um relatório de bug com os dados de um cliente na tela, uma nota fiscal para um pedido de reembolso. Capturas de tela carregam um conjunto específico de informações que as pessoas esquecem.

A barra de status é a primeira. O nome da operadora, a intensidade do sinal, a porcentagem da bateria e o horário exato ficam nos poucos pixels do topo e, juntos, restringem uma pessoa e um momento. A segunda é a interface do navegador: uma URL com um token de sessão, uma lista de abas abertas que descreve uma tarde inteira, uma lista suspensa de preenchimento automático, uma barra de favoritos com as ferramentas internas de uma empresa. A terceira é a interface ao redor: uma barra lateral com nomes de contatos, uma notificação, um seletor de contas mostrando um endereço pessoal ao lado de um profissional.

Cubra tudo isso e use PNG como formato de saída para qualquer coisa que contenha texto. JPEG comprime mal as bordas do texto, e uma captura de tela editada que seja difícil de ler é uma captura de tela editada que será enviada novamente sem edição.

O que acontece com o arquivo, passo a passo

A imagem é decodificada pelo navegador, com sua rotação EXIF aplicada aos pixels para que o que você vê na tela seja o que será exportado. Desenhar uma região registra um retângulo nas coordenadas da imagem, não nas coordenadas da tela, portanto a cobertura fica no lugar certo independentemente de como a prévia é dimensionada para a sua janela. Ao aplicar, a imagem é redesenhada em resolução total, os pixels de cada região são substituídos e o resultado é codificado.

Nada é enviado em nenhum momento, e não há nenhuma solicitação que a página pudesse fazer: os módulos em /js/tools/ não contêm código de rede. Depois que a página é carregada, você pode desconectar completamente a rede e tudo continuará funcionando. É a versão dessa afirmação que você pode verificar, em vez de aceitar por confiança.

Se uma fotografia é sensível o bastante para ser editada antes de ser enviada, geralmente também é sensível o bastante para não ficar no rolo da câmera. É para isso que serve o cofre — arquivos criptografados no dispositivo, fora da biblioteca Photos — e a página de criptografia informa cada parâmetro em vez de chamá-la de nível militar.