PDFの開封パスワードと権限パスワードは、別のセキュリティ課題を解決します。開封パスワードは暗号化されたPDFを権限のない人が閲覧するのを防ぐためのものです。権限パスワードは所有者パスワードとも呼ばれ、印刷、コピー、編集、ページ抽出などの制限やセキュリティ設定を保護します。
パスワードを求めずに開くPDFでも権限制限を持つことができ、開封パスワードが必要なPDFに追加の権限制限を設定することもできます。すべてのPDFパスワードを同じものとして扱わず、リスクに合う制御を選ぶ必要があります。
要点
「この人はそもそもファイルを開いて読めるべきか」が主な問いなら、開封パスワードを使います。正しい資格情報が入力されるまでPDFは暗号化された状態です。
「開いた後にどの対応操作を許可するか」が主な問いなら、権限パスワードを使います。多くのワークフローでは両方を組み合わせます。
開封パスワード、ユーザーパスワード、権限パスワード、所有者パスワード
PDF製品では呼び方が異なります。**開封パスワード**は**ユーザーパスワード**、**権限パスワード**は**所有者パスワード**と呼ばれることがあります。名称より機能が重要です。
ユーザー/開封パスワードは通常、受信者が文書を見るために入力します。所有者/権限パスワードは、権限設定の作成、変更、解除などを行う管理者向けの資格情報です。
PDFの開封パスワードは何をするか
暗号化された文書へのアクセスを保護します。ファイルが傍受、転送、メールボックスや端末からコピーされた場合でも、正しいパスワードがなければ対応ソフトで通常どおり内容を表示できないようにします。
閲覧前の機密性が目的なら、こちらが重要なセキュリティ境界です。基本概念は[PDF暗号化とは](/resources/articles/what-is-pdf-encryption/)を参照してください。
- PDFを表示する前に資格情報を要求する
- 暗号化ファイルの通常の不正開封を防ぐ
- 強く予測しにくいパスワードを使う
- 安全に伝達・保管する
- 正規利用者による表示情報の取得までは防がない
PDFの権限パスワードは何をするか
権限設定を保護します。PDFは対応ソフトウェアに対して、印刷、テキストコピー、編集、コメント、ページ構成、抽出などを許可するかどうかを指定できます。
開封パスワードがない場合、受信者はパスワード入力なしで開けても権限制限に直面することがあります。これは利用ルールには有効ですが、アクセス暗号化とは役割が異なります。
- 権限とセキュリティ設定を保護する
- 印刷、コピー、編集、抽出の制限と併用できる
- 開くときにパスワードを求めないPDFにも設定できる
- 権限を持つ所有者が制限を変更・解除するために使える
- 設定した権限をPDFソフトが尊重することに依存する
主な違い
最も簡単な比較方法は、各制御がワークフローのどこで作用するかを見ることです。
- 開封パスワード：文書を開いて表示できるかを制御
- 権限パスワード：開いた後の対応操作に関する設定を保護
- 開封パスワード：暗号化内容への不正アクセスを主に対象
- 権限パスワード：利用ルールとセキュリティ設定を主に対象
- 開封パスワード：通常は受信者に渡す資格情報
- 権限パスワード：通常は所有者、管理者、生成ワークフロー側で保持
開封パスワードだけを使う場合
PDFは表示前にパスワードを要求しますが、追加の権限制限がなければ開いた後は通常操作が許可されることがあります。不正開封だけを防ぎたい場合に適しています。
例えば機密レポートをメール送信する場合、メールボックス侵害や転送への対策として開封パスワードを使い、正規受信者の印刷は許可できます。
権限パスワードだけを使う場合
PDFはパスワード入力なしで開けても、対応リーダーで印刷やコピーを制限できます。この場合、受信者が入力する開封パスワードはアクセス障壁になっていません。
低リスク資料で利用ルールを示しつつ手間を減らす用途には使えますが、不正閲覧そのものが主なリスクなら適しません。
両方を使う場合
目的の異なる2つの層になります。受信者はまず開封パスワードで暗号化PDFにアクセスし、その後に権限設定が印刷やコピーなどの対応操作を制限します。
アクセス保護と取扱ルールの両方が必要な機密文書に適していますが、画面上に表示された情報を完全に制御するDRMにはなりません。
なぜ所有者パスワードと呼ばれるのか
**所有者パスワード**は、文書所有者がセキュリティ設定を管理する権限を表す名称です。多くの実装では、所有者パスワードで認証すると通常のユーザーパスワードではできない変更や完全な権限が得られます。
受信者が開いた後に必ず入力する2つ目のパスワードという意味ではありません。権限管理用の管理者資格情報と考える方が正確です。
どちらがより強いセキュリティか
役割が違うため単純比較はできません。暗号化内容を権限のない人に読ませないことが目的なら、重要な境界は開封パスワードです。権限パスワードは別の機能を保護します。
権限は対応ソフトで通常操作を止めたり抑制したりできますが、スクリーンショット、写真、再入力、すべての制限を守らないソフトウェアは残り得ます。
実用的なパスワード運用
最初に、不正開封、開封後の操作、または両方が重要なリスクかを判断します。その後、必要な制御を設定し、最終PDFを実際に確認します。
- 不正閲覧を制限する必要があれば開封パスワードを使う
- 権限制限は明確な取扱ポリシーを支える場合だけ追加する
- 両方が必要なら強く分離した資格情報を使う
- 代表的なPDFリーダーで保護後の出力を確認する
- パスワードをファイル名や通常ログに残さない
- 必要に応じて開封パスワードをPDFとは別経路で伝える
よくある誤り
- 権限パスワードが不正開封も防ぐと思い込む
- 開封パスワードを使っても印刷やコピーが許可されたままなのを見落とす
- PDFと開封パスワードを同じ経路で送るリスクを検討しない
- 予測しやすいパスワードを複数受信者で使い回す
- 「コピー禁止」「印刷禁止」を絶対防止と考える
- 配布前に最終ファイルをテストしない
実際の安全性は設定と運用の両方で決まります。メール、パスワード伝達、受信者確認、ソース管理、最終確認が結果に影響します。
XERIAのOpen PasswordとOwner Password
XERIAでは**Open Password**と**Owner Password**という用語を使います。Open Passwordは閲覧前の資格情報を要求し、Owner Passwordは権限関連の設定を支えます。実際の操作は[XERIAでPDFをパスワード保護する](/resources/articles/protect-pdfs-with-passwords-in-xeria/)を参照してください。
メール配布では、添付前にPDFを保護して確認します。[メール送信前にPDFをパスワード保護する方法](/resources/articles/how-to-password-protect-a-pdf-before-emailing-it/)で手順を説明しています。
どちらを選ぶべきか
強そうな名称ではなく、セキュリティ目的で選びます。
- 不正閲覧が重要なリスクなら開封パスワード
- 権限設定を保護・管理するなら権限パスワード
- 機密アクセスと開封後制限の両方が必要なら両方
- 追加の手間に見合わない文書ならどちらも不要
- 継続的な失効やダウンロード後の強い制御が必要なら管理ポータルやDRMなどを検討
よくある質問
PDFの開封パスワードはユーザーパスワードと同じですか？
通常は同じ意味です。多くのツールでは、暗号化PDFを開くための資格情報を**ユーザーパスワード**と呼びます。
権限パスワードは所有者パスワードと同じですか？
通常は同じ意味です。権限設定や所有者レベルの制御に関連し、製品ごとに名称が異なります。
開封パスワードなしで権限パスワードだけ設定できますか？
はい。パスワード入力なしで開きつつ、所有者/権限パスワードで保護された制限を持つPDFがあります。ただし開封パスワードと同じ不正閲覧保護ではありません。
開封パスワードと所有者パスワードは同じにすべきですか？
役割が違うため、両方が必要なら別の資格情報にする方が明確です。文書の機密性、運用要件、利用ソフトに合わせて方針を決めます。
まとめ
開封パスワードと権限パスワードは競合ではなく補完関係です。開封パスワードは暗号化内容へのアクセスを、権限/所有者パスワードは権限設定を保護します。目的に応じて使い分け、必要なら併用し、情報表示後の権限制限を絶対的な保護とは考えないでください。