Inspector de archivos

Para qué sirve inspeccionar un archivo

El inspector responde preguntas que la interfaz típica del sistema operativo no responde: ¿este archivo es realmente lo que su extensión dice? ¿Qué metadata lleva embebida? ¿Qué software lo produjo? ¿Cuándo fue modificado por última vez y con qué cámara fue tomada la foto?

La extensión del archivo (.pdf, .jpg, .docx) es solo una etiqueta textual en el nombre. Cambiarla no cambia el contenido. Un .exe renombrado a .pdf sigue siendo un ejecutable. El inspector lee los primeros bytes del archivo y los compara contra firmas binarias conocidas (magic numbers) para decirte qué es realmente.

Magic numbers: cómo funcionan

Todo formato de archivo serio empieza con una secuencia fija de bytes llamada magic number. Es una huella de identidad que el OS y las aplicaciones usan para reconocer el tipo sin fiarse del nombre:

• JPEG: FF D8 FF
• PNG: 89 50 4E 47 0D 0A 1A 0A
• PDF: 25 50 44 46 2D (también “%PDF-” en ASCII)
• ZIP: 50 4B 03 04 (también “PK..”)
• MP4: ?? ?? ?? ?? 66 74 79 70 (ftyp)

El ZIP es particularmente interesante porque documentos modernos de Office (DOCX, XLSX, PPTX) son internamente ZIPs. Su magic number es el mismo. Un .docx renombrado a .zip se puede abrir y navegar — verás XMLs, imágenes y la estructura interna del documento.

EXIF y por qué importa

Las fotos tomadas con cámara digital o celular llevan EXIF: un bloque de metadata que la cámara escribe automáticamente. Campos típicos:

• Make / Model: “Canon EOS R5”, “Apple iPhone 15 Pro”.
• DateTimeOriginal: fecha y hora exacta de la captura, con precisión de segundo.
• GPS latitude/longitude: coordenadas donde se tomó la foto (si el GPS estaba habilitado).
• Settings: ISO, apertura (f-number), tiempo de exposición, distancia focal, lente usado.
• Software: si fue editada, el nombre y versión del editor (ej: “Adobe Photoshop 24.0”).

Riesgos de privacidad con EXIF

Publicar fotos con EXIF puede revelar más de lo que quieres:

Ubicación exacta. Una foto de tu casa subida a Instagram con GPS revela tu dirección a cualquiera que sepa leer EXIF. Instagram, Twitter y Facebook eliminan EXIF al subir, pero no todas las plataformas lo hacen (tu blog personal, un Google Drive compartido, un archivo mandado por email).

Patrones de movimiento. Varias fotos con EXIF revelan rutinas: dónde estás en la mañana, el trabajo, el gimnasio, el restaurante del fin de semana.

Equipo y perfil económico. Una cámara cara delata capacidad económica. Útil para atacantes que priorizan víctimas.

Evidencia legal. En casos donde la autoría o el momento de captura importan (peritaje, fotografía periodística, proceso judicial), el EXIF es evidencia cruda que puede usarse para validar o refutar timelines.

La recomendación: inspecciona antes de publicar. Si no quieres compartir EXIF, remuévelo con una herramienta de compresión o edición que lo strip (nuestra comprimir imagen lo hace al recomprimir).

Metadata de PDF

Los PDFs llevan metadata en el Document Information Dictionary:

• Title, Author, Subject, Keywords: campos configurados manualmente por el creador o automáticamente por el software.
• Creator: aplicación que originó el contenido (ej: “Microsoft Word”).
• Producer: la biblioteca o app que generó el archivo PDF final (ej: “Adobe PDF Library 23.0”, “macOS Quartz”).
• CreationDate / ModDate: timestamps de creación y última modificación.

Igual que con EXIF, la metadata PDF puede revelar información indeseada: el nombre real del autor, la empresa, el software usado. Si vas a publicar un PDF anónimamente, limpia metadata primero (tu editor PDF tiene típicamente un comando “sanitize”).

Tipos reales vs renombrados

Una de las utilidades más concretas del inspector es detectar archivos con extensión engañosa. Casos típicos:

Archivo sospechoso por email. Alguien te manda “CV-candidato.pdf” y el inspector dice que es un ejecutable (PE, ELF) o un script. Señal fuerte de phishing.

Archivo sin extensión. Te pasaron un archivo “data” sin saber qué es. El inspector lee el magic y dice “JPEG” o “SQLite DB” o lo que sea. Puedes renombrarlo con la extensión correcta.

Verificación de descarga. Bajaste un “.zip” que resulta ser HTML (página de error del sitio, no el archivo). Inspector te lo dice sin tener que descomprimir.

Forensic casero. Tienes un archivo recuperado de un disco dañado. Sin extensión. El magic number te dice qué software lo puede abrir.

Casos de uso en Chile

Revisar facturas del SII. Descargaste un XML o PDF del portal del SII. El inspector confirma que es lo que dice y te muestra si trae firma digital embebida.

Verificar fotos de contrato de arriendo. El arrendatario te manda fotos del inventario del departamento. El inspector verifica que no fueron editadas (software EXIF vacío o coincidente con la cámara original, fecha de captura coincidente con la entrega).

Verificar autoría de un CV. Un CV en PDF con productor “Microsoft Word 2019” que fue modificado hoy es más creíble que uno con productor “iText” (generador programático) o editado con “Adobe Acrobat” (retocado).

Documentos legales. Peritos y abogados inspeccionan metadata para validar antigüedad o detectar alteraciones. El timestamp de modificación y el productor son evidencia indicativa (no definitiva, pero útil).

Cabecera binaria

El inspector también te muestra los primeros 64 bytes del archivo en dos vistas:

• Hex: representación hexadecimal, dos caracteres por byte. Útil para ver patrones numéricos, flags binarios, offsets.
• ASCII: los bytes imprimibles se muestran como texto, los no imprimibles como punto. Útil para identificar strings pegados al principio del archivo (ej: “%PDF-1.7” en un PDF, “ftypheic” en un HEIC).

Es la misma vista que un editor hex dedicado (HxD, 010 Editor, xxd). Para análisis forense profundo, esas herramientas desktop son superiores — nuestro inspector es para quick look.

Privacidad del análisis

Como todas las herramientas del cluster, la inspección es completamente local. La file API del navegador lee los bytes a memoria, exifr los parsea, y los resultados se muestran en pantalla. Nada se envía a ningún servidor.

Si necesitas acompañar la inspección con un hash criptográfico para verificar integridad, usa /archivo/hash. Para comparar dos archivos y ver diferencias, /archivo/comparar.