安全发送机密 PDF，不只是把文件添加到电子邮件附件中那么简单。一旦 PDF 离开创建它的系统，发送方就可能失去对以下事项的控制：谁会打开文件、文件存放在哪里、是否会被转发，以及不同收件人的副本是否还能被清楚区分。
更稳健的工作流会把安全 PDF 分发视为一系列连续决策：确认收件人、保护文件、在需要时让已发出的副本可识别、选择合适的发送方式、验证结果，并保留足够的记录，以便日后确认究竟发送了什么。
任何单一 PDF 设置都无法消除所有复制或再次分发的可能性。有效保护来自多层控制的组合，并应根据文档敏感程度以及未经授权泄露可能造成的后果进行选择。
安全发送 PDF 意味着什么？
安全 PDF 发送是指在分发前和分发过程中保护文档，同时降低未经授权访问、意外泄露以及无法追踪的再次分发风险。
具体需要哪些控制取决于文档本身。公开宣传册可能无需保护；客户报告可能适合添加收件人专属水印；机密财务文件则可能需要加密、强密码、收件人验证以及受控的发送记录。
一个安全发送流程应能回答五个问题：
- 谁被授权接收这份文档？
- 如果文件落到其他人手中，应采取什么保护？
- 是否允许收件人打印或复制内容？
- 每位收件人是否需要一份可识别的独立副本？
- 应保留哪些有关生成和发送的证据？
更完整的概念说明可参阅[什么是安全文档分发？](/resources/articles/what-is-secure-document-distribution/)。
先考虑风险，再选择工具
在选择密码、水印或发送方式之前，先明确你真正需要防范的风险。
常见风险包括：
- 将文件发送到错误的电子邮件地址
- 文件被转发后遭到未经授权的打开
- 意外或故意再次分发
- 复制或打印本应受控的内容
- 无法确认哪位收件人收到哪份副本
- 发送过期或错误版本的文档
- 为大量收件人重复使用同一个密码
- 没有保留可靠的分发记录
不同控制措施解决不同风险。加密可以限制文件打开，但在合法访问发生后并不能识别收件人。个性化水印可以标识预期收件人，但无法阻止未经授权的人打开未加密文件。
机密 PDF 的主要安全层
分层工作流会组合多种控制，而不是指望一个功能解决所有问题。
| 安全层 | 主要目的 | 重要限制 |
|---|---|---|
| 收件人验证 | 降低误发风险 | 无法控制正确送达后的行为 |
| PDF 加密 | 限制无密码打开 | 已授权收件人仍可查看文档 |
| PDF 权限 | 请求限制打印或复制 | 不同 PDF 软件的执行方式可能不同 |
| 可见水印 | 传达机密属性并抑制分享 | 不会加密文档 |
| 收件人专属水印 | 区分已发出的副本并提高责任可追溯性 | 不能证明是谁造成了泄露 |
| 追踪码 | 帮助识别已发出的副本 | 需要可靠记录才能发挥作用 |
| 发送记录 | 保存发送了什么以及发送给谁的证据 | 本身不能阻止再次分发 |
最合适的组合取决于文档的敏感程度以及收件人需要如何使用文档。
步骤 1：确认正确的收件人
第一项安全控制就是准确的收件人数据。即使 PDF 在技术上受到保护，如果发送给了错误的人，仍然属于信息泄露。
在生成或发送文档之前，请确认：
- 收件人姓名
- 电子邮件地址
- 组织或部门
- 文档版本
- 接收材料的授权
- 文件中使用的收件人专属值
对于高影响文档，如果已有经过验证的收件人列表或批准的目录，应避免仅依赖手动复制的地址。
当收件人很多时，收件人与文件之间的映射尤其重要。开始发送前，每个生成文件都应与预期收件人正确关联。
步骤 2：判断 PDF 是否应要求密码
如果未经授权的打开属于重要风险，应使用打开密码对 PDF 进行加密。
收到文件但不知道密码的人，在兼容软件中应无法打开该文件。
避免使用容易猜测的密码，例如：
- 收件人的名字
- 公司名称
- 当前年份
- `123456`
- `password`
- 所有收件人共用同一个密码
在适当情况下，为不同收件人或不同分发组使用不同密码。
密码也应通过合适的渠道传递。如果加密附件和密码放在同一条消息中发送，一旦该消息被获取，保护价值可能会降低。
如需了解更完整的分层保护方式，请参阅[如何保护机密 PDF 文档](/resources/articles/how-to-protect-confidential-pdf-documents/)。
步骤 3：在符合策略时应用 PDF 权限
PDF 权限可以请求限制打印、复制或某些编辑操作。
当预期的使用策略很明确时，这些控制很有帮助。例如，可以允许收件人阅读报告，但不希望其随意复制文本或无限制打印纸质副本。
不应把权限限制视为绝对防护。不同 PDF 应用程序对权限的执行可能不同，而且已授权查看者仍可能通过正常 PDF 权限之外的方式获取信息。
因此，应把权限作为更广泛策略的一层，而不是保护高敏感信息的唯一手段。
步骤 4：添加清晰的机密水印
可见水印可以直接在文档上说明应如何处理该文件。
常见文字可以包括：
- 机密
- 仅限内部使用
- 禁止再次分发
- 收件人姓名
- 收件人电子邮件地址
- 组织名称
- 发放日期
- 参考码或追踪码
水印应保持清晰可见，同时不影响底层文档的可读性。
通用的`机密`水印可以说明文档状态。收件人专属水印则能让不同收件人获得视觉上不同的副本，从而进一步提高责任可追溯性。
步骤 5：在责任追踪重要时使用收件人专属副本
如果同一份机密 PDF 分发给多个人，完全相同的文件会形成一个弱点：之后很难区分各个副本。
收件人专属 PDF 可以包含：
- 姓名
- 电子邮件地址
- 公司
- 客户或员工参考信息
- 分发日期
- 唯一追踪码
这并不会让再次分发变得不可能，而是改变责任追踪方式。
如果某份副本后来出现在预期流程之外，可见或编码的参考信息可以帮助判断应调查哪一份已发出的版本。
这与声称水印可以证明是谁亲自造成泄露是不同的。归因还应考虑发送记录、账户访问、设备以及其他证据。
步骤 6：添加与记录关联的可追踪性
当文档中的参考信息与受控记录相连接时，可追踪性最有价值。
追踪码可以识别：
- 已发出的副本
- 收件人记录
- 一次生成事件
- 一项分发任务
- 日期或内部参考信息
基于 QR 的追踪元素可以让该参考信息更容易检查。
PDF 中的参考信息应与发送方保存的数据相对应。与没有支持记录的孤立标记相比，作为文档化流程的一部分使用，可追踪性会更强。
步骤 7：有意识地选择发送方式
电子邮件附件方便且兼容性广。安全链接和门户则可以在收件人愿意或被要求使用时，提供额外的访问管理能力。
何时适合使用受保护的电子邮件附件
加密并个性化的 PDF 附件在以下情况下可能很实用：
- 收件人需要普通 PDF 文件
- 标准 PDF 阅读器应足以使用
- 离线访问有价值
- 每位收件人应获得一份独立副本
- 工作流不应要求单独的门户账户
何时安全链接或门户可能更合适
如果组织需要以下能力，受管理的链接或门户可能更适合：
- 集中撤销访问
- 到期访问
- 仅浏览器查看
- 详细的查看分析
- 基于账户的访问策略
这是不同的安全模型。基于文件的工作流保护并识别 PDF 本身；基于门户的工作流则控制对受管理查看环境的访问。
步骤 8：发送前验证生成的文件
安全设置只有应用到正确文档上才真正有意义。
在正式分发前，打开一份有代表性的生成文件并确认：
- 正确的源文档
- 正确的收件人
- 正确的可见水印
- 正确的追踪信息
- 密码行为
- 使用时的打印和复制权限
- 页面可读性
- 输出文件名
- 不包含错误或过期内容
对于大型批次，应先用一个小型且有代表性的子集进行测试。
步骤 9：验证发送映射
当文件被个性化时，一个严重的操作错误就是把收件人 A 的 PDF 发送给收件人 B。
发送工作流应确认：
- 收件人记录与输出文件匹配
- 电子邮件地址属于该收件人
- 附件路径指向正确的 PDF
- 主题和正文使用预期模板
- 失败的发送不会被静默显示为成功
有关 XERIA 的具体工作流，请参阅[使用 XERIA 通过电子邮件发送个性化 PDF](/resources/articles/send-personalized-pdfs-by-email-with-xeria/)。
步骤 10：保留分发记录
安全工作流应保留足够的信息，以便以后回答基本问题。
根据敏感程度，可记录：
- 文档版本
- 收件人
- 生成的副本
- 生成时间
- 发送尝试时间
- 发送结果
- 追踪码或参考码
- 所应用的保护策略
不要仅为了方便而把敏感密码存入不安全的日志中。
将同一份机密 PDF 发送给多个收件人
当多个人需要同一份基础文档时，给所有人发送完全相同的受保护文件并不总是最佳方式。
更强调责任追踪的工作流可以在保留相同主文档内容的同时，为每位收件人生成独立副本。
每份副本可以在以下内容上有所不同：
- 收件人姓名
- 电子邮件地址
- 参考编号
- 追踪码
- 密码
- 输出文件名
- 发送目标
这会让已发出的副本更容易区分，并且在生成和发送进行系统化映射时，还能减少手动选择附件的工作。
应避免的常见错误
应避免这些反复出现的问题：
- 所有收件人使用同一个弱密码或容易猜测的密码
- 把 PDF 权限当作有保证的绝对防护
- 在收件人责任追踪重要时只使用通用机密水印
- 在可见水印中加入不必要的个人或机密信息
- 大规模分发前不进行有代表性的测试
- 不保留可靠的生成或发送记录
即使单独的 PDF 安全设置配置正确，这些问题也常常会从操作层面削弱整个工作流。
按敏感程度推荐的控制
下面的框架只是实用起点，并非通用政策。
| 文档敏感程度 | 常见控制 |
|---|---|
| 低 | 正确收件人、最终版本检查、标准发送 |
| 中 | 可见机密水印、收件人验证、发送记录 |
| 高 | 加密、强密码、收件人专属水印、适当权限、已验证发送、追踪参考 |
| 很高 | 分层 PDF 控制，加上组织特定的安全渠道、身份验证、保留和治理要求 |
受法规约束或具有法律敏感性的工作流，可能还需要 PDF 安全之外的控制。
XERIA 如何支持安全 PDF 分发
XERIA 围绕基于文件的安全 PDF 分发而设计。
它可以把收件人专属 PDF 生成与可见水印、密码保护、权限限制、追踪码或 QR 可追踪性以及电子邮件发送工作流结合起来。
对于多个收件人，XERIA 可以从一份源 PDF 生成多个独立副本，并将每份输出与对应的收件人信息关联。这使用户能够继续使用普通 PDF 工作流，同时提高威慑力、责任追踪能力和操作一致性。
XERIA 不会把 PDF 附件变成可远程控制的门户。一旦已授权收件人能够查看文件，任何普通 PDF 工作流都无法保证信息永远不会被截取或再次分发。
在基于文件的保护与受管理门户或虚拟数据室之间做选择时，这一区别非常重要。
常见问题
发送机密 PDF 最安全的方式是什么？
使用适合文档的分层工作流：确认收件人、必要时加密、使用强密码、在责任追踪重要时添加收件人专属标识、选择获批准的发送渠道，并保留分发记录。
通过电子邮件发送受密码保护的 PDF 安全吗？
它可以降低未经授权打开的风险，尤其是在密码强度足够并通过单独渠道传递时。但它不能阻止已授权收件人查看、截取或再次分发内容。
是否应该在机密 PDF 上显示收件人姓名？
当收件人责任追踪很重要时，这样做可能有帮助。只使用工作流真正需要的身份信息，并在决定哪些内容可见时考虑隐私要求。
能否阻止 PDF 被转发？
普通 PDF 附件无法可靠地阻止电子邮件或文件本身被转发。加密、收件人专属水印、权限和可追踪性可以降低风险并提高责任追踪能力，但不能形成绝对的转发禁令。
每位收件人都应该收到不同的 PDF 吗？
不一定。对于需要责任追踪或可追踪性的机密材料，收件人专属的独立副本通常比完全相同的文件更有价值。
对机密 PDF 来说，电子邮件还是安全链接更好？
这取决于所需的安全模型。受保护附件方便并可使用标准 PDF 阅读器。受管理链接或门户则可提供集中撤销访问、设置到期时间等控制。
结论
安全发送机密 PDF 是一个工作流，而不是单独一个复选框。
首先确认谁应该接收文档以及哪些风险最重要。然后选择相应控制：用加密保护访问，用权限支持使用策略，用可见或收件人专属水印传达要求并提高责任追踪，用追踪参考识别已发出的副本，并用可靠的发送记录保留操作证据。
目标不是承诺 PDF 永远无法被复制或转发。目标是减少可以避免的泄露，明确处理要求，在需要时区分敏感副本，并保留足够证据，以负责任的方式管理机密文档分发。