可见的水印 PDF 向所有查看该文档的人宣布所有权。不可见的跟踪水印不会自行公布。它将唯一标识符（例如收件人代码或分发批号）嵌入到 PDF 的内容或元数据中，其方式可以在屏幕共享、打印甚至在某些情况下进行格式转换后继续存在。当泄露的文档在网上出现时，不可见的水印会识别出哪个收件人的副本是泄露的来源。
不可见水印的用途与可见水印不同。可见水印会使共享副本看起来不专业，从而阻止未经授权的共享。隐形水印可以在发生未经授权的共享后进行取证追踪。将机密文档分发给多个收件人的组织通常会使用这两种方法：可见水印以阻止随意共享，以及不可见水印以在可见水印被裁剪或覆盖时追踪来源。
WukongPDF 的PDF 安全 工具包包括可见水印和基于元数据的水印选项。对于隐形跟踪，下面描述的方法添加了在常见文档处理工作流程中持续存在的取证标记。
隐形 PDF 水印的工作原理
最常见的隐形水印技术会在文档中的单词或字符之间的间距上产生微小的变化。每个收件人的副本都具有稍微不同的间距模式，用于编码唯一标识符。对于人眼来说，文本看起来是正常间隔的。为了分析测量页面上字符的精确位置的软件，间距模式被解码为收件人标识符。该技术在打印和重新扫描后仍然存在，因为字符间距保留在物理打印输出中，并且可以从泄露文档的高分辨率扫描中恢复。
在大多数情况下，一种更简单但不太耐用的技术是将标识符嵌入 PDF 的PDF隐私元数据字段中，例如自定义 XMP 元数据标签或隐藏表单字段。在正常查看期间，标识符完全不可见，因为元数据不会呈现在页面上。然而，基于元数据的水印会被许多 PDF 优化工具、格式转换操作，甚至一些电子邮件附件扫描仪剥离。为了跟踪目的，标识符必须在格式转换中幸存下来，像素级或基于间距的技术更具弹性。
方法 1：在 PDF 元数据中嵌入唯一标识符
在 Adobe Acrobat Pro 中打开 PDF，然后转到“文件”，然后转到“属性”。单击“其他元数据”按钮，然后选择“高级”选项卡。在 XMP 元数据显示中，为您的跟踪标识符找到或创建自定义命名空间。添加一个元素，例如 rdf:li xml:lang='x-default'，其值对收件人和分发日期进行编码，例如 RECIPIENT-4829-DATE-2026-07。确切的语法取决于 XMP 架构，但原理是相同的：将唯一的字符串放置在元数据字段中，该字符串在正常文档处理期间不太可能被注意到或修改。
要批量分发给多个收件人，请自动插入元数据。使用 pikepdf 库的 Python 脚本可以打开 PDF 模板，将唯一标识符插入每个收件人的 XMP 元数据中，并保存带水印的副本。该脚本读取列出收件人姓名和代码的 CSV 文件，循环遍历每一行，插入标识符，然后使用文件名中的收件人姓名保存输出文件。 30 行 Python 脚本可以在一分钟内处理数百个收件人。
方法 2：用于基本跟踪的白色文本水印
白色文本水印是以白色字体颜色放置在页面上的文本，使其在白色背景下不可见。如果选择文本或更改背景颜色，它就会变得可见。要在 Acrobat Pro 中添加文本，请打开“编辑 PDF”工具，选择“添加文本”，键入标识符代码，然后将字体颜色设置为白色。将文本放置在页面的空白边距区域中。
实际上，任何想要选择页面上的所有文本并更改字体颜色的人都可以检测到白色文本方法。它提供了基本级别的跟踪，可有效防止收件人共享 PDF 而不检查隐藏内容的意外泄漏情况。对于知道在共享之前查找白色文本、从 PDF 中删除所有注释或打印和扫描文档的收件人来说，它是无效的。对于更高安全性的跟踪需求，基于元数据或隐写技术可以提供更强大的保护，防止检测和删除。
方法 3：实现最大弹性的像素级隐写术
专业的隐写 PDF 水印工具会修改嵌入图像中像素值的最低有效位，以对二进制标识符进行编码。对每个像素的修改最多是 256 步颜色通道中的一个值步，这是人眼无法察觉的。只要图像分辨率足以解析各个像素，就可以从屏幕截图、打印和扫描的副本、甚至屏幕上显示的文档照片中恢复编码的标识符。
隐写水印工具通常是分发预发布内容的政府机构、金融机构和媒体公司使用的商业产品。标准 PDF 编辑软件中不包含这些工具。对于大多数业务用例，基于元数据的标识符与可见水印相结合提供了足够的跟踪能力。当泄露的文档可能导致重大的财务、法律或声誉损失时，需要使用隐写水印。
| 方法 | 可见性 | 检测 |
|---|---|---|
| 白色文字水印 | 在白色背景上看不见 | 全选显示、复制粘贴显示 |
| 编码元数据标签 | 根本不可见 | 需要元数据阅读器才能找到 |
| 隐写像素图案 | 无法察觉 | 需要专门的检测工具 |
隐形跟踪水印是一种取证工具，而不是预防措施。他们不会阻止未经授权的共享。他们在泄漏发生后识别源头，从而实现有针对性的响应，而不是广泛的猜测。技术的选择取决于内容的敏感性和预期威胁的复杂性。基于元数据的标识符可以满足大多数业务跟踪需求。像素级隐写术解决了内容足够有价值以至于确定的接收者可能主动搜索并尝试删除跟踪标记的情况。
隐形跟踪的法律和道德考虑
在与外部各方共享的文档中嵌入跟踪标识符会引发因司法管辖区而异的法律和道德问题。在欧盟，GDPR 要求数据主体了解收集哪些个人数据以及如何使用这些数据。将文档与特定接收者联系起来的不可见水印构成 GDPR 规定的个人数据处理，可能需要在隐私声明或数据处理协议中进行披露。
即使在没有明确法律要求的司法管辖区，未公开的跟踪一旦被发现也会损害业务关系。如果客户在您共享的文档中发现了不可见的跟踪代码，他们可能会合理地质疑您在他们不知情的情况下进行了哪些其他监控。最可靠的方法是在文档的附信或页脚中披露该文档包含用于文档管理目的的唯一标识符。披露并不违背跟踪的目的。知道文档被跟踪的接收者可能会被阻止泄露该文档，这与事后抓住他们的结果相同。
测试您的水印是否能经受住通用文档处理
在依靠隐形水印进行泄漏追踪之前，请测试它是否能够承受典型的处理。将水印应用到测试 PDF。通过电子邮件将其发送给自己，在多个 PDF 阅读器中打开它，打印页面并扫描，然后将 PDF 转换为另一种格式并返回。每次测试后，检查是否仍然可以从处理后的文件中恢复水印标识符。
基于元数据的水印可通过格式转换和某些电子邮件安全扫描仪去除。白色文本水印可以在打印后保留下来，但任何更改背景颜色的人都可以看到。隐写水印经得起大多数处理，但需要专门的工具。将技术与威胁级别相匹配。对于内部文档，元数据标识符提供了足够的可追溯性。对于外部共享的预发布内容，隐写方法可以针对删除尝试提供更强的保护。在依赖水印方法进行实际泄漏调查之前，在现实文档处理条件下测试水印方法是可追踪文档与错误安全感之间的区别。
嵌入不可见水印的决定应在分发文档之前做出，而不是在发生泄漏之后做出。对已经流通的文件进行跟踪改造是不可能的。对于任何未经授权的披露会造成明显损害的文档，水印步骤应该与密码保护和元数据清理一起成为分发工作流程的一部分。水印不会给收件人体验带来任何障碍，同时提供了否则无法获得的调查路径。隐形水印是防止信息泄露的保险，与所有保险一样，它的价值只有在出现问题时才会体现出来。嵌入水印的时间是在文档离开您的控制之前。隐形水印提供了可见水印无法提供的取证线索，可以追踪泄露的文档追溯到其来源，而不会提醒共享这些文档的人跟踪已经到位。
当文档水印作为更广泛的文档安全策略（包括访问控制、分发日志记录和收件人对文档处理期望的认识）的一部分时，用于泄漏跟踪的文档水印是最有效的。水印提供了泄露文件与其特定来源之间的取证链接，从而实现有针对性的响应，而不是对泄露源进行广泛、昂贵且最终不确定的猜测。