Secure PDF Viewer: безопасный просмотр PDF на Android без лишних разрешений

Secure PDF Viewer — редкий пример мобильного PDF-просмотрщика, в котором архитектура безопасности важнее количества инструментов. Приложение GrapheneOS открывает PDF через системные поставщики содержимого Android, передаёт поток документа в изолированный WebView с pdf.js и при этом не запрашивает Android-разрешений. Такой подход подходит для локального чтения договоров, инструкций, счетов и полученных извне PDF, когда важно сократить доступ просмотрщика к файлам, сети и данным устройства. Обратная сторона той же специализации — это не редактор и не «комбайн»: в актуальной версии 33 нет полнотекстового поиска, OCR и набора средств для аннотирования или преобразования документов.

Скачать Secure PDF Viewer

На 12 сентября 2026 года актуальный стабильный публичный выпуск — Secure PDF Viewer 33 от 30 июля 2026 года. Для обычного Android официальный Google Play распространяет вариант разработчика GrapheneOS с package ID app.grapheneos.pdfviewer.play; он использует Play Signing.

На GrapheneOS приложение распространяется и обновляется через GrapheneOS App Store под идентификатором app.grapheneos.pdfviewer и подписью GrapheneOS. Разработчики прямо требуют обновлять системную версию таким способом, поскольку verified boot распространяется на обновления системных приложений. Play-вариант — отдельная сборка, а не замена системного пакета.

Третий официальный канал — Releases репозитория GrapheneOS/PdfViewer с подписанными GrapheneOS APK и заметками к версиям. Для ручной установки безопаснее использовать только официальный релиз проекта, а не APK-каталоги. Настольной или веб-редакции именно этого продукта нет. На нашем сайте материал про PDF Viewer для чтения и аннотирования документов относится к другому приложению.

Что такое Secure PDF Viewer

Secure PDF Viewer — открытый Android-просмотрщик PDF проекта GrapheneOS. Его задача — локально отрисовать выбранный документ и не давать механизму рендеринга широкого доступа к устройству. Это не облачный кабинет и не многофункциональный PDF-редактор.

Документ приходит через Android content provider как поток и передаётся в изолированный WebView с pdf.js. Официальное описание указывает, что WebView не получает доступ к сети, файлам, другим content provider и прочим данным. Content-Security-Policy ограничивает JavaScript и стили статическими ресурсами APK, динамическая оценка кода отключена, а сетевые загрузки дополнительно блокируются.

Слово «Secure» обозначает модель изоляции, а не криптографическую проверку подлинности PDF. Программа уменьшает поверхность атаки и потенциальный ущерб при ошибке рендеринга, но не доказывает безопасность или авторство самого файла. Проект активно поддерживается: в 2026 году вышли большой интерфейсный релиз 32 и текущий релиз 33 с pdf.js 6.2.108.

От обычного открытия PDF в браузере эта схема отличается тем, что WebView не получает веб-страницу и не должен обращаться к внешним ресурсам документа. Статические JavaScript- и CSS-ресурсы поставляются внутри APK, пользовательские шрифты в WebView блокируются, а pdf.js сам отвечает за визуализацию содержимого. Разработчик отдельно подчёркивает, что приложение использует лишь небольшую часть поверхности Chromium по сравнению с полноценным веб-контентом.

Защитная граница не заканчивается на pdf.js: даже гипотетическая эксплуатация нижележащего движка остаётся внутри Chromium renderer sandbox с меньшими полномочиями, чем у обычной вкладки браузера. Это полезная архитектурная гарантия, но она не заменяет проверку источника документа, цифровой подписи и содержания. Поэтому Secure PDF Viewer логичнее рассматривать как изолированный инструмент чтения, а не как средство экспертизы PDF.

Основные функции Secure PDF Viewer

Открытие PDF без широкого доступа к хранилищу

Приложение регистрирует обработчик application/pdf. Документ можно открыть командой Open document или передать из файлового менеджера через Android VIEW. Viewer получает выбранный поток, а не разрешение самостоятельно обходить все каталоги устройства.

Такая модель важна и для совместимости с источниками файлов: доступ выдаёт конкретный content provider, который пользователь выбрал в системном интерфейсе Android. Сам viewer не строит собственный каталог документов и не сканирует накопитель. В версии 33 обработка входных потоков была усилена перехватом произвольных исключений от сторонних providers, чтобы некорректная реализация источника файла не приводила к неуправляемой ошибке.

Навигация, масштаб и поворот

Доступны предыдущая/следующая, первая/последняя страница и Jump to page. В версии 32 добавлены горизонтальные свайпы и ввод номера страницы с клавиатуры. С версии 21 масштаб достигает 10×; версия 33 добавила пункт Zoom как альтернативу pinch-to-zoom и исправила смещение позиции. Есть поворот по и против часовой стрелки, не изменяющий структуру PDF.

Оглавление и свойства документа

Поддерживается PDF outline с вложенными пунктами. В Properties показываются имя и размер файла, Title, Author, Subject, Keywords, даты создания и изменения, Producer, Creator, версия PDF и число страниц. Релиз 32 улучшил разбор дат PDF 2.0. Метаданные полезны для ориентирования, но не являются доказательством подлинности.

Пароль и выделение текста

Интерфейс содержит запрос Password для расшифровки PDF и сообщение Invalid password. Есть текстовый слой для selection: версия 29 исправляла проблемы выделения, а 31 — его поворот вместе со страницей. Это не означает наличие полнотекстового поиска: в версии 33 его нет.

Share и Save As

Share передаёт PDF стандартному Android-механизму выбора приложения; после этого дальнейшая обработка зависит от почты, мессенджера или другого получателя. Save As записывает документ через системный provider. Это сохранение PDF, а не экспорт в Word, изображения или иной формат.

Практически это означает две разные границы ответственности. При Save As пользователь выбирает место назначения в системном интерфейсе, а приложение выполняет запись через provider; при Share оно передаёт документ выбранному внешнему приложению. Если после Share файл уходит в облако, на почтовый сервер или в мессенджер, это уже действие получателя, а не скрытая сетевая операция Secure PDF Viewer.

Что не входит в продукт

В актуальной версии не заявлены OCR, редактирование текста и изображений, создание PDF, конвертация, пакетная обработка, облачная библиотека и развитые аннотации. Secure PDF Viewer ценен именно как узкий просмотрщик, а не как скрытый «комбайн».

Отдельно стоит учитывать отсутствие полнотекстового поиска. Text selection подтверждён и постепенно исправлялся в релизах 29 и 31, однако выбор текста и поиск по всему документу — разные функции. Для технического руководства на сотни страниц с известной ключевой фразой это ограничение может быть важнее, чем отсутствие редактирования: придётся опираться на outline, номер страницы и визуальную навигацию.

Интерфейс и удобство использования

Версия 32 перенесла оболочку на Jetpack Compose, Material 3 и Jetpack Navigation, добавила новый индикатор страницы, горизонтальные свайпы, текстовый Jump to page и улучшила edge-to-edge отображение. В версии 33 появились Material Symbols и отдельное управление Zoom через меню.

Документ занимает основную часть экрана, а действия сосредоточены в панели и меню. Нет стартового облачного кабинета или предложения оформить подписку. Для маршрута «открыть — прочитать — сохранить копию или передать» интерфейс прямолинеен.

Основные ограничения удобства — отсутствие полнотекстового поиска и русской локализации. Релиз 33 собирается только с ресурсами en; числа и проценты учитывают системную локаль, но названия команд остаются английскими. При открытии нового файла сбрасываются поворот, масштаб, outline, properties и password state, поэтому приложение не похоже на библиотеку с постоянным состоянием чтения.

Поддерживаемые форматы и совместимость

Android-манифест Secure PDF Viewer объявляет только application/pdf. EPUB, DjVu, XPS, офисные документы, изображения и архивы не являются самостоятельными входными форматами. Выход тоже остаётся PDF: Save As сохраняет документ, а Share передаёт его другой программе без конвертации.

Совместимость PDF развивается вместе с pdf.js. Версия 21 добавила binary character maps для старых наборов символов, 23 — стандартные шрифты, а 28 вернула JPEG 2000 и улучшила CMYK→RGB через ICC/qcms. Версия 32 адаптировала WebAssembly-ресурсы и обработку PDF 2.0 dates. Это точечные подтверждённые улучшения, а не заявление о безусловной поддержке каждого элемента PDF 2.0.

Файлы приходят через Android content providers. Поэтому системный выбор файла может предоставить документ из внутреннего хранилища или от установленного провайдера, но сам Secure PDF Viewer не заявляет собственных коннекторов Google Drive, OneDrive, Dropbox или WebDAV и не авторизуется в облаках.

Это различие важно при оценке «облачной совместимости». Если установленное приложение хранения публикует документ через стандартный Android provider, системный picker может передать выбранный поток Secure PDF Viewer. Однако синхронизация, авторизация, кэширование и скачивание в таком случае относятся к тому провайдеру. У viewer нет собственного аккаунта и отдельного механизма синхронизации документов между устройствами.

Поддержку сложных вариантов PDF следует оценивать по фактическому рендерингу pdf.js, а не по одному номеру стандарта. Официальная история проекта отдельно фиксирует исправления для character maps, стандартных шрифтов, JPEG 2000, CMYK и дат PDF 2.0 — то есть совместимость расширяется точечно. Не стоит из этого делать вывод о функции проверки цифровых подписей, редактировании форм или гарантированно одинаковом выводе любого специализированного PDF: таких обещаний у продукта нет.

Производительность и стабильность

GrapheneOS не публикует бенчмарки, гарантированный максимум размера PDF или норму потребления RAM. Скорость зависит от сложности страниц, изображений, шрифтов, устройства и WebView, поэтому точные «секунды открытия» или пределы памяти приписывать программе нельзя.

Есть подтверждённые инженерные улучшения: версия 32 вынесла загрузку свойств и Save As I/O с главного потока, а 33 улучшила обработку исключений от content provider и исправила смещение при зуме. С версии 25 падение процесса WebView приводит к отдельному экрану ошибки с Reload вместо безусловного завершения всего приложения.

Минимальный Chromium WebView был поднят до 133 в версии 27. Старое устройство может соответствовать Android 8.0, но всё равно потребовать обновления WebView; для этого предусмотрено сообщение WebView out-of-date. Жёсткого лимита для «больших PDF» нет, поэтому тяжёлые сканы лучше проверять на целевом устройстве с актуальным WebView и достаточной свободной памятью.

Для стабильности полезно разделять три класса проблем. Ошибка content provider проявляется ещё на чтении входного потока; несовместимость или дефект PDF — во время разбора и рендеринга pdf.js; падение процесса WebView — уже на уровне Chromium renderer. Приложение содержит отдельные механизмы обработки этих случаев, но не обещает автоматического восстановления повреждённого документа. Повторяемый сбой одного и того же файла после обновления WebView разумно трактовать как повод проверить сам PDF или открыть его резервным ридером.

Наличие аппаратного ускорения и современного WebView не превращает мобильный viewer в гарантированно быстрый инструмент для многостраничных сканов. Страница с несколькими большими изображениями и встроенными шрифтами может требовать заметно больше памяти, чем текстовая страница того же размера файла. Поскольку разработчик не публикует нормативов по RAM и времени рендеринга, корректный критерий здесь — воспроизводимость на целевом устройстве, а не универсальное число мегабайт или секунд.

Лицензирование и версии

Код Secure PDF Viewer распространяется по MIT, а встроенный pdf.js — по Apache License 2.0. Приложение бесплатно, без отдельных Free/Pro-редакций, подписки и временного trial для самого просмотра.

Различать нужно каналы подписи: Google Play использует app.grapheneos.pdfviewer.play и Play Signing; GrapheneOS App Store/GitHub — app.grapheneos.pdfviewer с подписью GrapheneOS. В App Store доступны Alpha, Beta и Stable, а Google Play также может получать выпуск с задержкой после проверки магазина.

Учётная запись viewer не требуется. В Google Play разработчик декларирует отсутствие сбора данных и передачи третьим сторонам. Это заявление относится к самому приложению; магазин, через который оно установлено, остаётся отдельным сервисом со своими правилами.

Системные требования

Android

Релиз 33 задаёт minSdk = 26, то есть Android 8.0 Oreo или новее. Target SDK 37 — цель совместимости с Android 17, а не минимальная версия ОС. Эти две величины нельзя смешивать: устройство с Android 8.0 удовлетворяет минимальному API приложения, тогда как target SDK описывает правила современной платформы, под которые собрана актуальная версия.

Android System WebView

Для рендеринга нужен Chromium WebView версии 133 или новее. При слишком старом компоненте приложение показывает WebView out-of-date с текущей и минимальной версиями.

Оборудование, локаль и сеть

Официальных минимумов RAM, свободного места, процессора и максимального размера PDF нет. Интерфейс релиза 33 — английский. Интернет не нужен для локального чтения и самому viewer недоступен; сеть требуется только внешнему каналу установки/обновления или приложению, выбранному пользователем через Share.

Карта критических зависимостей

Главная особенность этой карты — отсутствие серверной зависимости для основной операции. PDF не нужно загружать на сайт разработчика ради просмотра, а WebView лишён сетевого доступа. Зато повышается роль локальных компонентов: устаревший WebView, сбой системного поставщика файлов или неподдерживаемый элемент конкретного PDF нельзя «обойти облаком» внутри самого приложения.

Преимущества и недостатки Secure PDF Viewer

Плюсы и минусы

Хронология развития и поддержки

Ноябрь 2024, версия 20: улучшены загрузка данных без MIME-типа и zoom gesture, минимум Chromium WebView поднят до 119. Февраль 2025, версия 21: зум увеличен до 10×, добавлены outlines и character maps; версия 23 добавила стандартные шрифты.

Февраль–апрель 2025, версии 25–29: появился экран восстановления после WebView crash, минимум WebView поднят до 133, сетевые загрузки стали блокироваться явно, возвращён JPEG 2000, улучшен CMYK, исправлено выделение текста.

Август 2025, версия 31: исправлен поворот text layer и добавлено аппаратное memory tagging вне GrapheneOS в узких поддерживаемых сценариях Android 16 Advanced Protection Mode.

8 июля 2026, версия 32: крупный переход на Compose/Material 3, горизонтальные свайпы, новый page indicator, текстовый Jump to page, улучшения ошибок и I/O, pdf.js 6.1.200. 30 июля 2026, версия 33: меню Zoom, исправления масштабирования и provider exceptions, pdf.js 6.2.108. Старые описания без свайпов или с пределом 1,5× уже неактуальны.

Последовательность релизов показывает направление проекта: сначала усиливались совместимость рендера и изоляция WebView, затем устранялись сбои выбора текста и тяжёлые случаи изображений, а в версии 32 заметно переработали именно повседневную навигацию. Версия 33 не меняет назначение приложения, а доводит этот интерфейс и обработку провайдеров. Поэтому обзоры ранних выпусков корректно использовать только как исторический контекст, но не как описание текущего UX.

Паспорт обратимости операций

С точки зрения обратимости Secure PDF Viewer удобен тем, что почти все его собственные действия относятся к чтению и навигации, а не к изменению PDF. Основной момент контроля возникает на границе приложения — при Save As и Share. Именно там пользователь выбирает новое место хранения или внешнего получателя, и там же может появиться облачная обработка, которой внутри Secure PDF Viewer нет.

Сравнение с аналогами

С Sumatra PDF корректно сравнивать только роль «открыть и прочитать». Sumatra — настольный Windows-ридер с широкой поддержкой форматов и поиском; Secure PDF Viewer — Android-инструмент, оптимизированный на минимальный доступ к данным и изолированный рендеринг. Для Windows Secure PDF Viewer не является альтернативой, а для Android с недоверенными входящими PDF его профиль заметно уже и безопасностно ориентированнее.

Xodo, Foxit и Acrobat практичнее, если нужны комментарии, формы, подписи, редактирование или облачные процессы. Secure PDF Viewer выигрывает не числом функций, а отсутствием многих зависимостей. В качестве настольного open-source ориентира можно также посмотреть Okular, но его платформа и набор задач другие.

Инструкция по установке

Обычный Android через Google Play

1. Найдите Secure PDF Viewer разработчика GrapheneOS и сверяйте package ID app.grapheneos.pdfviewer.play.
2. Установите приложение штатной кнопкой магазина; отдельные разрешения на файлы и сеть не требуются.
3. Запустите viewer и выберите Open document либо откройте PDF из файлового менеджера через «Открыть с помощью».
4. Для контроля откройте безопасный PDF, перелистните страницы и вызовите Properties.

GrapheneOS App Store

1. Откройте Apps на GrapheneOS и найдите Secure PDF Viewer.
2. Используйте Stable, если не нужен Alpha/Beta-канал, и установите обновление через Apps.
3. Не заменяйте системную сборку Play-вариантом: у них разные package ID и цепочки подписи.

Обновление через Apps связано с verified boot для системных приложений GrapheneOS.

Ручная установка официального APK

1. Берите APK только из официального Releases GrapheneOS/PdfViewer и нужного стабильного тега.
2. Если Android запросит временное разрешение на установку неизвестных приложений для браузера/файлового менеджера, после установки отключите его, если оно больше не нужно.
3. Дальнейшие обновления получайте из того же доверенного канала.

Удаление без потери документов

Оригиналы PDF находятся у своих content provider, а не в библиотеке viewer. Перед удалением убедитесь, что нужные документы сохранены в доступном месте. Play-сборку удаляют штатным механизмом Android; для встроенной системной версии GrapheneOS не следует переносить инструкции от обычной пользовательской установки.

Практические кейсы

Открыть входящий PDF с минимальным доверием

Цель: прочитать вложение без выдачи viewer доступа к сети и всему хранилищу. Подготовка: версия 33 и WebView 133+.

1. Откройте вложение через системный список приложений и выберите Secure PDF Viewer.
2. Проверьте Properties: имя, размер, число страниц и метаданные.
3. Читайте через свайпы, номер страницы или outline.
4. При разовом WebView crash используйте Reload; повторяющийся сбой одного файла — повод проверить документ отдельно.

Проверка: PDF читается без запроса сетевых/общих файловых прав. Ограничение: песочница снижает потенциальный ущерб, но не подтверждает подлинность файла.

Прочитать PDF с паролем

Цель: открыть защищённый документ с известным паролем. Подготовка: исходный PDF и пароль из доверенного канала. Шаги: откройте PDF, введите пароль в Password prompt, при Invalid password перепроверьте раскладку и исходные данные. Проверка: страницы отображаются после корректного пароля. Ограничение: viewer не восстанавливает неизвестные пароли и не снимает защиту с исходного файла.

Добраться до нужной главы в длинном документе

Цель: навигация без поиска. Подготовка: узнайте номер страницы, название раздела или наличие outline. Шаги: используйте Outline, если он есть; иначе Jump to page с номером, затем свайпы и Zoom. Проверка: нужный раздел найден по структуре или странице. Ограничение: если известна только фраза, версия 33 не умеет полнотекстовый поиск.

Сохранить копию и передать её

Цель: зафиксировать отдельный экземпляр до отправки. Подготовка: выберите понятное место сохранения и заранее определите целевое приложение или адресата. Шаги: сверяйте Properties, выполните Save As в контролируемое место, повторно откройте копию, затем используйте Share и конкретное целевое приложение. Проверка: сохранённый PDF повторно открывается и содержит ожидаемое число страниц. Ограничение: после Share приватность зависит уже от выбранного получателя.

Диагностировать проблемный PDF

Цель: отделить дефект файла от устаревшего окружения. Подготовка: актуальная версия viewer, WebView 133+ и, по возможности, заведомо рабочий PDF для сравнения. Шаги: проверьте версию PDF и число страниц в Properties, повторите открытие и проблемный масштаб/поворот, затем сравните поведение с контрольным документом. Для старых шрифтов, JPEG 2000 и CMYK учитывайте улучшения версий 21, 23 и 28. Проверка: если контрольный PDF работает, а сбой стабильно воспроизводится только на одном файле, проблема с большей вероятностью связана с конкретным документом. Ограничение: viewer не исправляет повреждённые PDF.

Контроль перед сохранением и передачей

• Сверьте имя, размер и число страниц.
• Проверьте первую, последнюю и критические страницы.
• После Save As повторно откройте копию.
• Перед Share проверьте целевое приложение и адресата.
• Не считайте Author/Producer/Creation date доказательством происхождения.
• Если нужна redaction или очистка персональных данных, используйте отдельный редактор: Secure PDF Viewer для этого не предназначен.

Часто задаваемые вопросы

Secure PDF Viewer работает только на GrapheneOS?

Нет. Google Play распространяет отдельную Android-сборку app.grapheneos.pdfviewer.play. На GrapheneOS системная версия обновляется через собственный App Store.

Нужен ли интернет для чтения?

Нет. У приложения нет разрешения INTERNET, а сетевые загрузки WebView блокируются. Сеть нужна магазину обновлений или внешнему приложению после Share.

Загружается ли PDF на сервер разработчика?

Нет такого этапа в архитектуре viewer: поток передаётся локально через content provider в WebView без сетевого доступа. Google Play также показывает декларацию об отсутствии сбора и передачи данных.

Есть ли поиск по тексту?

Нет в версии 33. Есть selection, outline и переход к номеру страницы, но полнотекстового поиска нет.

Можно ли редактировать, делать OCR и аннотации?

Это не подтверждённые функции продукта. Для подобных задач лучше Xodo, Foxit, Acrobat или специализированный OCR/редактор.

Открывает ли он PDF с паролем?

Да, интерфейс содержит Password prompt и обработку Invalid password для зашифрованных PDF с известным паролем.

Есть ли русский интерфейс?

Нет. Релиз 33 собирается с ресурсами английской локали; локаль системы влияет на формат чисел, но не переводит команды.

Почему не требуется разрешение на файлы?

Content provider передаёт приложению выбранный поток PDF. Viewer не получает общего права самостоятельно просматривать всё хранилище.

Что делать при WebView out-of-date?

Обновить системный Chromium WebView штатным способом. Текущая ветка требует минимум WebView 133.

Есть ли настольная версия?

Нет подтверждённой настольной редакции этого продукта GrapheneOS. На Windows для лёгкого чтения логичнее Sumatra PDF; для расширенной PDF-работы — Foxit или Acrobat.

Вывод

Secure PDF Viewer подходит пользователю Android, которому нужен именно локальный просмотр PDF с минимальным набором полномочий приложения. Сильная сторона продукта — не редкая функция редактирования, а архитектура: нулевые Android-разрешения, передача выбранного файла через content provider, pdf.js в изолированном Chromium WebView, CSP, отсутствие сетевого доступа и открытый исходный код. На этом фоне базовые возможности версии 33 — свайпы, переход по номеру, outline, 10-кратный зум, поворот, свойства, password prompt, выбор текста, Save As и Share — выглядят достаточными для чтения.

Не подходит Secure PDF Viewer тем, кому нужен полнотекстовый поиск, русская локализация, OCR, заметки, формы как рабочий процесс, редактирование, конвертация и облачная библиотека. В таких сценариях Xodo, Foxit или Adobe Acrobat Reader функционально сильнее, а на Windows Sumatra PDF универсальнее по форматам и навигации. Выбор Secure PDF Viewer разумен тогда, когда критерий «какие данные и ресурсы получает просмотрщик» важнее критерия «сколько PDF-инструментов собрано в одном приложении».