只有在已分发的 PDF 副本包含可靠标识符，或能够与生成记录和交付记录进行关联时，才有可能把泄露的 PDF 追溯到某个收件人。目标是判断找回的文件最可能来自哪一份已签发副本，而不是在缺乏充分依据的情况下指控某个人故意泄露了文档。
实际调查通常会结合收件人专属水印、追踪代码、文件特征、生成记录和交付日志。最重要的是区分证据意义：识别出某份收件人副本，并不自动证明该收件人本人造成了泄露。账户可能被入侵，设备可能被多人使用，文件可能由其他获授权人员转发，也可能发生交付错误。
追踪泄露的 PDF 是什么意思？
追踪泄露的 PDF，是指将找回的文档与原始分发流程中创建的信息进行比较，以判断它对应哪一份已签发副本。
有用的标识符可能包括：
- 收件人姓名或电子邮件地址
- 个性化可见水印
- 唯一追踪代码或参考代码
- 与追踪值关联的 QR 码
- 收件人专属文件名
- 文档版本或签发日期
- 文件未发生变化时的文件哈希
- 生成时间戳
- 交付记录
当多个相互独立的细节都指向同一份副本时，追踪结果最为可靠。
关于基础概念，请参阅[什么是文档可追溯性？](/resources/articles/what-is-document-traceability/)。
可追溯性必须在泄露发生之前设计
如果同一份通用 PDF 未经任何变化就发送给所有收件人，那么之后可能几乎没有副本级别的证据可供使用。如果每个人收到的字节内容、文件名和可见内容都完全相同，就可能没有可靠办法区分某个收件人的副本与另一个人的副本。
更强的分发流程会在交付前创建可区分的输出。根据风险，每份副本都可以包含收件人标识符、追踪代码、个性化水印或其他唯一参考值，并把同一参考值记录在生成日志中。
因此，按收件人生成独立 PDF 对机密文档分发很有价值。它能在源文档、生成副本和目标收件人之间建立可审计的关系。
详细说明请参阅[个性化 PDF 水印](/resources/articles/personalized-pdf-watermarks/)。
第 1 步：保全找回的文件
首先，应按照发现时的原始状态保全泄露或找回的 PDF。
在检查之前，不要编辑、重新保存、打印为 PDF、优化或以其他方式修改文件。这些操作可能改变元数据、哈希值、对象结构或嵌入式标识符。
记录基本背景信息，例如：
- 文件在哪里被发现
- 文件何时获得
- 由谁收集
- 原始文件名
- 原始文件大小
- 相关消息、链接或存储位置
- 文件是否看起来被重命名或修改过
如果调查具有法律或监管意义，应遵循组织的证据处理和法律程序，而不是只依赖非正式的文档检查。
第 2 步：检查可见的收件人信息
使用可信的 PDF 阅读器打开文件，寻找不同已签发副本之间会发生变化的可见信息。
例如：
- 收件人姓名
- 收件人电子邮件地址
- 客户或员工参考编号
- 组织或部门
- 签发日期
- 唯一追踪代码
- 包含收件人数据的保密提示
可见的个性化水印通常是判断签发了哪一份副本最快的线索。不要只检查第一页，因为在纵向、横向或混合版式文档中，水印的位置和显示方式可能不同。
还应检查页面是否被裁切、重新排序或部分删除。即使某些页面被修改，泄露文件中的其他页面仍可能保留标识符。
第 3 步：读取追踪代码或 QR 参考值
如果 PDF 包含唯一追踪代码，应按页面上显示的内容准确记录该值。
追踪代码应映射到生成收件人副本时创建的记录。该记录可以把代码与以下信息关联起来：
- 收件人身份
- 电子邮件地址
- 源文档
- 文档版本
- 生成时间
- 输出文件名
- 交付目的地
- 交付结果
QR 码可以为同类标识符提供方便的机器可读形式。QR 图像本身不是证据；真正有价值的是唯一值以及它所对应的可靠记录。
关于 XERIA 工作流程，请参阅[在 XERIA 中添加 QR 追踪代码](/resources/articles/add-qr-trace-codes-in-xeria/)。
第 4 步：将找回的 PDF 与已签发副本比较
如果保留了历史副本，应将找回的文档与原始分发过程中生成的输出进行比较。
有用的比较项包括：
| 比较项 | 可以说明什么 | 重要限制 |
|---|---|---|
| 可见水印 | 页面上显示的是哪个收件人身份 | 可以被裁切、遮盖或重新制作 |
| 追踪代码 | 代码代表哪一份生成副本 | 依赖准确的生成记录 |
| 文件名 | 文件可能来自哪个输出 | 很容易被重命名 |
| 文件哈希 | 是否逐字节完全一致 | 文件发生任何变化后都会改变 |
| 页数和页面顺序 | 找回副本是否与某个已签发版本一致 | 页面可以被删除或重新排序 |
| 嵌入元数据 | 补充的创建或修改背景信息 | 可以被修改或清除 |
| PDF 结构 | 与某个生成输出的相似程度 | 需要谨慎的技术解释 |
匹配的加密哈希是两个文件逐字节完全相同的强有力证据。哈希不匹配并不能证明找回的 PDF 来自不同来源，因为哪怕很小的编辑或重新保存都会改变哈希值。
第 5 步：将标识符与生成记录关联
不要只依赖可见标记。应找到与追踪代码、收件人数据或输出文件名相对应的生成记录。
一条有用的记录应回答：
- 使用了哪份源文档？
- 生成了哪个版本？
- 选择了哪条收件人记录？
- 插入了哪个标识符？
- 创建了什么输出文件名？
- 应用了哪些保护设置？
- 文件何时生成？
目标是展示从已批准源文档到生成的收件人副本之间的一致链路。
如果记录中的标识符与可见标识符不一致，应把这种情况当作需要调查的问题，而不是强行得出结论。它可能意味着生成错误、手工修改或记录本身不可靠。
第 6 步：检查交付记录
生成记录说明某份副本被创建。交付记录则有助于确认该副本被发送到了哪里。
检查分发系统中可用的信息，例如：
- 预期收件人地址
- 实际交付目的地
- 消息或交付时间戳
- 附件文件名
- 交付成功或失败
- 重试历史
- 同一文件是否发送过多次
- 其他收件人是否误收了相同标识符
这一步很重要，因为即使文件被正确个性化，也仍然可能被发送到错误地址。
因此，追踪流程应把副本生成和副本交付视为两个不同环节。
第 7 步：考虑文件是否被修改过
泄露的 PDF 不一定与最初分发的文件完全相同。
可能的变化包括：
- 重命名文件
- 删除特定页面
- 裁切页面边缘
- 遮盖可见水印
- 打印后重新扫描
- 打印为新的 PDF
- 重新压缩或优化文件
- 截图后重新构建文档
某些修改会破坏技术元数据，但仍保留可见标识符。另一些修改可能去掉可见标记，但仍保留足够的版式、文本或页面内容，以支持比较。
不要因为看不到水印，就认定原始副本从未包含水印。
第 8 步：验证其他可能解释
找回的副本与某个收件人关联，并不自动意味着该收件人故意泄露了文件。
应调查合理的其他可能性，包括：
- 收件人把文件转发给了另一名获授权同事
- 其他人能够访问收件人的邮箱
- 使用了共享邮箱
- 收件人的设备或账户遭到入侵
- 管理员或助理访问过文件
- 文件被附加到了错误的消息
- 收件人与文件的映射关系有误
- 交付后副本被放入共享文件夹
- 可见标识符被复制或重新制作
副本识别应当支持调查，而不能替代调查。
实用的证据层级
不同追踪信号的证明力并不相同。条件允许时，应结合多个来源。
| 证据 | 典型价值 |
|---|---|
| 收件人专属可见水印 | 快速识别副本并形成威慑 |
| 与日志关联的唯一追踪代码 | 与生成副本形成强关联 |
| 匹配的加密哈希 | 找回文件未变化时可证明完全一致 |
| 生成记录 | 连接源文档、收件人、标识符和输出 |
| 交付记录 | 连接生成输出、目的地和交付事件 |
| 账户或访问日志 | 可能显示谁访问过系统或链接 |
| 仅有文件名 | 证明力较弱，因为很容易修改 |
| 通用保密水印 | 表明处理要求，但不能识别收件人 |
可辩护的结论通常应建立在多个证据形成的整体模式上，而不是依赖某一个孤立字段。
仅凭可追溯性无法证明什么
文档可追溯性可以帮助回答“这是哪一份已签发副本？”，但不一定能够回答“是谁故意泄露了它？”。
如果泄露内容是通过拍照、人工重新录入或大幅编辑过的截图重新制作的，也无法保证一定能恢复标识符。
因此，可追溯性更适合被理解为一种问责和调查能力。它可以补充访问控制和泄露预防，但不能取代它们。
关于预防性控制，请参阅[如何防止机密文档泄露](/resources/articles/how-to-prevent-confidential-document-leaks/)。
为未来分发设计更好的可追溯性
如果调查发现不同副本很难区分，应改进下一次分发工作流程。
有用做法包括：
- 在需要问责时，为每位收件人生成一份可识别副本
- 在所有相关页面上放置标识符
- 使用不会暴露不必要个人数据的唯一追踪代码
- 保持收件人、文件、代码和交付映射一致
- 防止生成和交付日志被未经授权修改
- 不要在日常日志中保存明文密码
- 发布前验证收件人与文件的映射关系
- 按照政策和法律要求保留记录
- 测试标识符在常见查看和打印环境下仍然清晰可读
目标不是尽可能多地收集数据，而是保留识别已签发副本和重建分发事件所需的最少且可靠的信息。
XERIA 如何支持收件人可追溯性
XERIA 面向以收件人为中心的 PDF 生成和分发而设计。
根据工作流程，XERIA 可以组合：
- 收件人专属可见水印
- 姓名、电子邮件地址或参考值
- 唯一追踪代码
- 可选 QR 可追溯性
- 收件人专属文件名
- 密码保护
- PDF 权限限制
- 批量生成
- 映射式电子邮件交付
- 生成和交付日志
这些功能可以帮助建立收件人记录与签发给该收件人的 PDF 之间的一致关系。
XERIA 不会判断是谁故意造成了泄露。它的作用是让生成副本更容易区分，并保留有助于验证和调查的分发背景信息。
常见可追溯性错误
给所有人发送同一份匿名副本
如果所有收件人都收到完全相同且没有标记的文件，之后可能无法识别具体副本。
把收件人姓名当作决定性证据
水印中的姓名可以识别已签发副本，但不能证明之后所有涉及该文件的操作都是由谁完成的。
只保留追踪代码而没有映射记录
如果没有可靠记录说明某个代码代表哪位收件人和哪份文档，那么该代码的价值非常有限。
只依赖文件名
文件名是有用的操作参考，但几秒钟就可以被修改。
忽略交付错误
即使个性化 PDF 生成完全正确，也仍可能被发送到错误目的地。
在检查前修改找回文件
重新保存或处理文件可能破坏有价值的技术证据。
常见问题
水印能告诉我是谁泄露了 PDF 吗？
收件人专属水印可以识别签发给哪位收件人的副本，但仅凭水印不能证明是谁故意泄露了文档。还应调查交付记录、账户访问和其他相关情况。
追踪代码比收件人姓名更好吗？
两者作用互补。收件人姓名能提供立即可见的背景信息，而唯一追踪代码可以映射到受控记录，同时减少页面上暴露的个人信息。
如果文件名被修改，我还能追踪 PDF 吗？
可以，只要其他标识符仍然存在。修改文件名不会改变可见水印或追踪代码，但其他编辑操作可能会影响文件内容。
文件哈希能识别收件人吗？
只能间接识别。哈希可以证明找回文件与保留的某个收件人副本完全一致，而收件人身份来自该已签发文件与收件人记录之间可信的映射关系。
如果水印被删除了怎么办？
应寻找其他证据，例如追踪代码、仍带标记的页面、生成记录、交付日志以及保留的已签发副本。如果文档经过大幅重建，副本归属可能变得不确定。
每份机密 PDF 都应该个性化吗？
不一定。个性化在收件人问责、副本识别或后续调查很重要时最有价值。应根据敏感程度、规模和政策选择适当控制。
结论
把泄露的 PDF 追溯到某位收件人，本质上是一个依赖事故发生前已创建信息的关联过程。
应保全找回文件，检查可见标识符，读取追踪代码，将文档与已签发副本比较，把结果与生成记录关联，并验证该副本实际交付到了哪里。之后，在判断责任之前还要验证其他可能解释。
最强的可追溯性来自规范的分发流程：在适当情况下为每位收件人生成可识别副本，保持可靠的收件人与文件映射，保护日志，并认真验证交付。
当这些控制存在时，泄露的 PDF 就不再只是一份匿名文件。它往往可以关联到某一份具体已签发副本和一个有记录的分发事件，同时仍然保持一个关键区别：识别副本并不等于证明某个人的主观意图。