Cara memastikan PDF aman dimulai dari satu kebiasaan: periksa sebelum membuka. PDF bisa memuat JavaScript, tautan, dan lampiran, sehingga yang perlu diperiksa adalah isi berkasnya, bukan sekadar namanya. Pemeriksaan yang berurutan menutup sebagian besar risiko tanpa perlu menghapus dokumen atau mengganti semua kata sandi.

Yang dicari dalam pemeriksaan ini ada tiga: asal berkasnya dapat dipastikan, isi berkasnya tidak memuat permintaan yang mencurigakan, dan lingkungan tempat berkas dibuka tidak memuat data penting. Ketiganya bisa diperiksa dengan alat yang sudah ada di perangkat Anda.

Artikel ini adalah panduan pencegahan, bukan penanganan setelah kejadian. Kalau Anda sudah terlanjur membuka berkas yang dicurigai dan sempat mengisi data, langkah penanganannya ada di PDF Terkena Virus.

Periksa asal berkasnya lebih dulu

Asal berkas adalah pemeriksaan yang paling menentukan dan paling cepat. Berkas yang datang dari sumber resmi dengan jalur yang jelas berbeda risikonya dari berkas yang diteruskan berkali-kali tanpa keterangan.

Kalau berkas dikirim lewat pesan, pastikan pengirimnya benar. Konfirmasi lewat saluran lain, misalnya telepon atau aplikasi yang berbeda. Jangan membalas ke alamat yang sama, karena alamat pengirim bisa dipalsukan. Perhatikan juga cara pengirimannya: pesan yang mendesak, meminta segera membuka lampiran, atau meminta data tertentu adalah pola yang perlu dicurigai. Pengirim resmi biasanya tidak meminta kata sandi atau nomor identitas lewat lampiran dokumen.

Kalau berkasnya diunduh dari situs, periksa alamat situsnya. Alamat yang mirip nama resmi tetapi berbeda satu atau dua huruf adalah pola yang umum. Untuk berkas yang mengaku berasal dari instansi tertentu, buka situs resmi instansi itu lewat pencarian, jangan lewat tautan yang dikirim. Berkas yang berasal dari portal resmi dan diunduh langsung dari akun Anda sendiri biasanya aman; yang perlu perhatian adalah berkas yang sampai tanpa Anda minta.

Periksa properti dan metadata dokumen

Metadata adalah informasi di balik halaman: judul, penulis, subjek, aplikasi pembuat, dan tanggal. Metadata tidak menentukan berkas berbahaya atau tidak, tetapi bisa menunjukkan kejanggalan. Dokumen resmi yang ternyata dibuat aplikasi yang tidak lazim, atau judul yang tidak cocok dengan isi pesan pengirimnya, adalah petunjuk untuk memeriksa lebih teliti.

Perlu diketahui juga bahwa metadata bisa dibersihkan sebelum berkas dikirim, sehingga metadata yang kosong bukan tanda bahaya. Sebaliknya, metadata yang lengkap bukan jaminan keamanan. Keterangan lengkap soal isi metadata ada di Metadata Apa Saja yang Tersimpan di PDF.

Periksa tautan tanpa mengkliknya

Tautan di dalam PDF bisa mengarah ke situs luar. Pemeriksaan yang aman dilakukan tanpa mengklik tautannya. Di pembaca PDF desktop, arahkan kursor ke teks yang berwarna atau bergaris bawah; alamat tujuan biasanya muncul di sudut jendela. Di ponsel, sentuh lama pada tautan untuk melihat pratinjau alamatnya, lalu batalkan tanpa membuka.

Alamat yang perlu dicurigai: rangkaian angka tanpa nama yang jelas, nama domain yang mirip dengan nama resmi, alamat yang mengarah ke pengunduhan berkas lain, dan alamat yang meminta Anda masuk dengan akun tertentu. Sebagian pembaca PDF punya panel yang menampilkan daftar seluruh tautan di dalam dokumen, dan panel ini lebih cepat diperiksa daripada menelusuri halaman satu per satu. Untuk dokumen yang penting, cocokkan alamat tautannya dengan alamat resmi yang Anda ketahui dari sumber lain, bukan dari dokumen itu sendiri.

Periksa lampiran di dalam berkas

PDF bisa membawa lampiran, yaitu berkas lain yang disisipkan ke dalam dokumen, dan jenisnya bisa apa saja. Langkah amannya: simpan lampirannya lebih dulu tanpa membukanya, lalu periksa jenis berkasnya dari ekstensi. Lampiran berupa gambar atau dokumen teks biasa risikonya lebih kecil. Lampiran berupa program yang bisa dijalankan adalah alasan untuk berhenti dan memeriksanya lebih teliti. Kalau lampirannya perlu dibuka, pindai dulu dengan program keamanan yang diperbarui, dan jangan membukanya langsung dari dalam pembaca PDF.

Periksa kolom formulir dan permintaan datanya

Formulir di dalam PDF adalah fitur yang sah untuk keperluan administrasi. Yang perlu diperiksa adalah apa yang diminta dan siapa penerimanya. Dokumen yang meminta kata sandi, nomor rekening, atau nomor identitas lewat formulir perlu dicurigai, apalagi kalau pengirimnya tidak dikenal. Instansi resmi biasanya punya saluran sendiri untuk menerima data seperti itu, bukan lewat lampiran yang dikirim ke perorangan.

Perhatikan juga apakah dokumen meminta Anda mengaktifkan fitur tambahan, misalnya menyalakan JavaScript atau keluar dari mode lindungi. Pembaca PDF yang baik akan menampilkan peringatan sebelum menjalankan skrip, dan permintaan seperti itu layak ditolak kecuali Anda tahu persis mengapa fitur itu dibutuhkan.

Pakai pengaturan pembaca yang lebih ketat

Pengaturan pembaca PDF menentukan seberapa banyak yang bisa dilakukan berkas saat dibuka. Mengetatkan pengaturan ini adalah langkah pencegahan yang berlaku untuk semua berkas, bukan hanya yang dicurigai.

Nonaktifkan JavaScript di pembaca PDF Anda. Sebagian besar pembaca menyediakan pilihan itu di menu preferensi. Dengan JavaScript nonaktif, formulir dan perhitungan otomatis mungkin tidak bekerja, tetapi dokumen tetap bisa dibaca. Aktifkan juga perlindungan terhadap pembukaan tautan otomatis, kalau tersedia. Buka berkas yang belum Anda percayai lewat peramban web, karena peramban biasanya menampilkan PDF tanpa menjalankan skrip di dalamnya. Untuk berkas yang benar-benar tidak Anda percayai, gunakan perangkat yang tidak memuat data penting, atau akun dengan hak terbatas di komputer bersama. Perbarui pembaca PDF dan sistem operasi secara rutin, karena versi lama lebih sering memiliki celah yang sudah diperbaiki.

Pindai dengan program keamanan yang diperbarui

Program keamanan tetap berguna sebagai lapisan tambahan, asalkan definisinya diperbarui karena daftar tanda pengenal berubah setiap waktu. Kalau muncul peringatan, jangan langsung mengambil keputusan besar. Salin nama temuan yang dilaporkan, lalu cari penjelasan resminya di situs vendor program keamanan Anda. Penjelasan itu biasanya menyebutkan apakah temuannya berupa berkas berbahaya, program yang tidak diinginkan, atau alarm palsu.

Perlu diingat bahwa tidak ada program keamanan yang bisa menjamin berkas bebas dari segala masalah. Karena itu, memindai bukan pengganti pemeriksaan asal dan isi berkas, melainkan pelengkap.

Mengambil teks tanpa menjalankan skrip

Untuk dokumen berlapis teks, isi berkasnya bisa diambil sebagai teks tanpa membuka tampilan penuh dokumen. PDF ke Teks mengambil seluruh kata dari dokumen berlapis teks menjadi satu berkas teks. Teks di dalam tabel diambil berurutan per baris, sehingga urutannya bisa berbeda dari tampilan tabel.

Cara ini berguna untuk memeriksa isi dokumen yang tidak Anda percayai. Perlu diketahui batasnya: dokumen hasil pindai tanpa lapisan teks menghasilkan teks kosong, karena OCR belum tersedia di layanan ini. Dokumen seperti itu menyimpan gambar halaman, bukan huruf yang bisa dipilih atau dicari.

Kapan berkas sebaiknya tidak dibuka sama sekali

Kalau berkas datang tanpa diminta dari pengirim yang tidak dikenal, dan isinya meminta data pribadi atau kata sandi, tidak ada alasan untuk membukanya. Laporkan ke pengelola layanan tempat berkas itu diterima, dan hapus berkasnya. Kalau berkasnya mengaku dari instansi resmi tetapi meminta pembayaran atau data rekening lewat tautan di dalam dokumen, verifikasi ke nomor kontak resmi instansi itu. Untuk berkas yang diterima di lingkungan kerja, ikuti prosedur organisasi Anda.

Karena ancaman berubah dari waktu ke waktu, panduan ini tidak bisa menjadi rujukan tunggal. Periksa kembali dokumentasi pembuat aplikasi pembaca PDF Anda, keterangan vendor program keamanan Anda, dan panduan lembaga tanggap insiden siber resmi.

Kapan sebaiknya tidak memakai tool online

Berkas yang belum Anda percayai sebaiknya tidak diunggah ke layanan mana pun, termasuk layanan yang tepercaya. Periksa dulu di perangkat sendiri. Untuk dokumen berisi data pribadi lengkap atau berkas perusahaan, aplikasi desktop lebih tepat. Keterangan pemrosesan layanan ini ada di kebijakan privasi.

Pertanyaan yang sering muncul

Apakah PDF yang dikirim lewat WhatsApp otomatis aman? Tidak. Aplikasi pesan hanya jalur pengiriman. Isi berkasnya tetap perlu diperiksa, terutama kalau pengirimnya tidak dikenal.

Apakah mode incognito membuat pemeriksaan lebih aman? Tidak. Mode incognito hanya membersihkan riwayat di peramban Anda.

Apakah semua PDF yang memuat JavaScript berbahaya? Tidak. JavaScript dipakai untuk hal teknis yang sah, misalnya perhitungan formulir. Yang menentukan adalah apa yang diminta skrip itu dan dari mana berkasnya datang.

Kebiasaan yang menutup sebagian besar risiko

Periksa asal berkas, lihat alamat tautannya tanpa mengklik, periksa lampirannya, dan pakai pengaturan pembaca yang lebih ketat. Empat kebiasaan itu sudah cukup untuk sebagian besar berkas yang Anda terima sehari-hari. Kalau berkasnya sudah terlanjur dibuka dan ada data yang dimasukkan, tangani sesuai PDF Terkena Virus. Gambaran pekerjaan keamanan dokumen ada di Keamanan PDF, dan titik awalnya ada di Panduan PDF.