Una fattura che non aspettavi, un curriculum arrivato via email da uno sconosciuto, un documento condiviso in un gruppo Telegram. Prima o poi capita a tutti di trovarsi davanti un file all’apparenza innocuo ma di cui non ci si fida fino in fondo, e di aprirlo comunque perché il contenuto potrebbe essere importante. Dangerzone nasce proprio per questa situazione. Si tratta di un programma gratuito e open source, sviluppato dalla Freedom of the Press Foundation, che prende un PDF, un documento Office o un’immagine potenzialmente pericolosi e li trasforma in un PDF pulito, privo di script, collegamenti nascosti e di qualsiasi altro elemento attivo.
Il file viene aperto in un ambiente isolato e senza accesso a internet (sandbox), ridotto a una sequenza di pixel e poi ricostruito da zero all’esterno, così che del documento originale resti soltanto l’aspetto visivo.
Pensato in origine per i giornalisti che ricevono materiale da fonti anonime, il programma è diventato negli anni uno strumento alla portata di chiunque, e con le versioni 0.10 e 0.11 ha eliminato il requisito più scomodo, cioè l’installazione di Docker Desktop. L’ultima release, la 0.11.1 del 22 ottobre 2026, gira su Windows, macOS e sulle principali distribuzioni Linux e aggiunge qualche novità utile anche a chi preferisce lavorare dal terminale.
Perché un semplice PDF può nascondere una trappola
Un PDF sembra un foglio di carta digitale, ma dal punto di vista tecnico è qualcosa di molto più complesso. Il formato prevede la possibilità di incorporare codice JavaScript, file allegati, moduli che inviano dati a un server esterno e riferimenti a risorse online caricate all’apertura. I documenti di Word, Excel e PowerPoint aggiungono le macro, piccoli programmi in grado di eseguire operazioni sul computer, oltre alla possibilità di scaricare modelli remoti. Nemmeno le immagini sono del tutto innocue, perché ogni formato richiede un decodificatore e ogni decodificatore può contenere errori sfruttabili.
L’attacco FORCEDENTRY, scoperto nel 2021 e usato per installare lo spyware Pegasus sugli iPhone, sfruttava un difetto nel modo in cui il sistema interpretava un file PDF camuffato da GIF, senza che la vittima dovesse nemmeno toccare lo schermo. È un caso estremo, eppure il meccanismo di fondo resta lo stesso anche negli attacchi più comuni. Il programma che apre il documento deve interpretare istruzioni scritte da qualcun altro, e se in quella interpretazione si nasconde un bug il file può trasformarsi in un veicolo per eseguire codice.
Esiste poi un rischio più sottile, che non richiede alcuna vulnerabilità. Un documento può contenere un’immagine o un collegamento ospitati su un server remoto che il lettore scarica nel momento in cui il file viene aperto. Chi lo ha inviato scopre così che il documento è stato letto, a che ora e da quale indirizzo IP. Per un giornalista, un avvocato o un ufficio che gestisce dati riservati, questa informazione può essere già di per sé un problema.
Antivirus e filtri della posta intercettano buona parte delle minacce conosciute, tuttavia lavorano per riconoscimento e possono poco contro un attacco nuovo o confezionato su misura. Caricare il file su un servizio di analisi online come virustotal.com, d’altro canto, significa consegnare il documento a terzi, una scelta poco sensata se contiene dati personali o aziendali. Dangerzone segue una logica diversa perché non prova a stabilire se il file sia pericoloso. Parte dal presupposto che possa esserlo e lo neutralizza in ogni caso.
Dalla pagina ai pixel e ritorno, il meccanismo della conversione
Il funzionamento si divide in due fasi distinte. Nella prima il documento viene copiato all’interno di una sandbox, cioè un ambiente chiuso e separato dal resto del sistema. Se non è già un PDF viene convertito con LibreOffice, la suite per ufficio open source, passata alla serie 25.x con la versione 0.10. A quel punto ogni pagina viene disegnata e trasformata in dati grezzi, in pratica un lungo elenco di valori di rosso, verde e blu per ciascun pixel. È l’equivalente digitale di stampare il documento e poi fotografarlo.
Nella seconda fase questi dati escono dalla sandbox e Dangerzone li usa per costruire un nuovo PDF da zero. Poiché il file finale contiene solo immagini, tutto ciò che era attivo nell’originale resta fuori, che si tratti di script, macro, allegati o collegamenti a server esterni. Anche un exploit capace di prendere il controllo del programma di conversione durante la prima fase non avrebbe modo di superare questo passaggio, perché dall’ambiente isolato escono soltanto numeri che descrivono colori.
La sandbox è un container Podman, una tecnologia simile a Docker, che a sua volta esegue il codice dentro gVisor, un kernel applicativo scritto in Go e sviluppato da Google. In parole semplici, gVisor si interpone tra il programma e il sistema operativo reale e risponde al suo posto alle richieste, riducendo di molto la superficie esposta agli attacchi.
Il container, inoltre, non ha alcun accesso alla rete, quindi un documento compromesso non può scaricare altro codice né comunicare con l’esterno. Le immagini del container sono firmate digitalmente e dalla versione 0.10 possono aggiornarsi da sole in background, un’opzione che ti conviene attivare al primo avvio.
Va detto che nessun isolamento azzera il rischio, perché anche gVisor e Podman sono programmi e possono contenere difetti. La protezione di Dangerzone nasce dalla somma delle barriere. Per raggiungere il sistema, un attacco dovrebbe superare gVisor, poi il container e, su Windows e macOS, anche la macchina virtuale, il tutto senza una connessione per scaricare altro codice. È uno scenario possibile in teoria, ma richiede di trovare e concatenare più falle diverse, un lavoro alla portata di pochi e difficilmente sprecato su un allegato qualunque.
Il PDF finale è una sequenza di immagini, il testo non risulta più selezionabile né ricercabile. Per rimediare, Dangerzone può eseguire l’OCR, il riconoscimento ottico dei caratteri, e aggiungere un livello di testo invisibile sopra le pagine. Con la versione 0.11 questa fase lavora in parallelo su più pagine, con un guadagno di velocità che secondo gli sviluppatori arriva fino a sei volte. Infine il file viene compresso per contenerne le dimensioni.
Conviene chiarire la differenza con altri strumenti che promettono di ripulire i PDF. Lo stesso Stirling PDF, di cui ci siamo occupati tempo fa, offre una funzione di sanificazione che rimuove JavaScript, allegati e metadati in modo selettivo, cioè cercando gli elementi noti e togliendoli. Dangerzone invece non cerca nulla, butta via la struttura del file e conserva solo l’immagine delle pagine. È un approccio più drastico e con qualche costo, ma lascia molto meno spazio alle brutte sorprese.
Il progetto ha alle spalle anche un audit di sicurezza indipendente, condotto da Include Security nel dicembre 2023, che non ha rilevato problemi ad alto rischio.
Installare Dangerzone su Windows, macOS e Linux
Su Windows la strada più rapida è scaricare il pacchetto .msi dal sito ufficiale dangerzone.rocks oppure dalla pagina delle release su GitHub. Dalla versione 0.11 il programma è disponibile anche sul Microsoft Store, che ha il vantaggio di gestire gli aggiornamenti in automatico. Se preferisci il terminale, basta un comando di winget:
winget install --id FreedomofthePressFoundation.Dangerzone -e
Dangerzone include al suo interno Podman, ma su Windows Podman ha bisogno di WSL, il sottosistema che permette di eseguire Linux dentro Windows. Se non è già presente, il programma propone di installarlo da solo al primo avvio. Servono almeno Windows 10 build 18362 o successiva sui processori x64, oppure la build 19041 sui sistemi ARM. Va detto però che su Windows 10 Dangerzone mostra ormai un avviso di dismissione, quindi il supporto è destinato a terminare. Il primo avvio richiede qualche minuto perché il programma prepara la macchina virtuale di Podman e scarica la sandbox. Dalle volte successive l’attesa si riduce molto.
Su macOS sono disponibili due immagini .dmg, una per i Mac con chip Apple Silicon e una per quelli con processore Intel. In alternativa puoi usare Homebrew:
brew install --cask dangerzone
Su Linux gli sviluppatori mantengono repository ufficiali firmati. Per Ubuntu e Debian occorre prima importare la chiave GPG della fondazione e aggiungere il repository:
sudo apt-get update && sudo apt-get install -y gpg ca-certificates
sudo mkdir -p /etc/apt/keyrings
sudo gpg --keyserver hkps://keys.openpgp.org \
--no-default-keyring --no-permission-warning --homedir $(mktemp -d) \
--keyring gnupg-ring:/etc/apt/keyrings/fpf-apt-tools-archive-keyring.gpg \
--recv-keys DE28AB241FA48260FAC9B8BAA7C9B38522604281
sudo chmod +r /etc/apt/keyrings/fpf-apt-tools-archive-keyring.gpg
. /etc/os-release
echo "deb [signed-by=/etc/apt/keyrings/fpf-apt-tools-archive-keyring.gpg] \
https://packages.freedom.press/apt-tools-prod ${VERSION_CODENAME?} main" \
| sudo tee /etc/apt/sources.list.d/fpf-apt-tools.list
sudo apt update
sudo apt install -y dangerzone
Su Fedora la procedura è più breve:
sudo dnf install 'dnf-command(config-manager)'
sudo dnf config-manager addrepo --from-repofile=https://packages.freedom.press/yum-tools-prod/dangerzone/dangerzone.repo
sudo dnf install dangerzone
Quando dnf chiede di importare la chiave, controlla che l’impronta corrisponda a DE28 AB24 1FA4 8260 FAC9 B8BA A7C9 B385 2260 4281 prima di confermare. C’è poi un dettaglio introdotto con la versione 0.11. I pacchetti Linux standard non contengono più l’immagine della sandbox, che viene scaricata al primo utilizzo. Se lanci subito l’interfaccia grafica non noterai differenze, ma se intendi usare soltanto la riga di comando devi prima eseguire dangerzone-image upgrade. In alternativa esiste il pacchetto dangerzone-full, più pesante ma già completo di tutto, comodo anche sui computer che restano scollegati dalla rete. Il programma è disponibile inoltre per Tails e, in versione beta, per Qubes OS.
Interfaccia grafica, OCR e terminale
L’interfaccia è essenziale, all’avvio trovi un pulsante per selezionare uno o più documenti sospetti e, subito dopo, una schermata con poche opzioni. Puoi scegliere la cartella in cui salvare i file convertiti, che per impostazione predefinita prendono il nome dell’originale seguito dal suffisso -safe, oppure chiedere al programma di spostare gli originali in una sottocartella dedicata, così da non confonderli con le copie pulite. Sempre da qui si attiva l’OCR, indicando la lingua del documento (l’italiano è tra quelle disponibili), e si decide se aprire automaticamente il PDF finale nel lettore preferito. Dalla versione 0.11 è possibile aggiungere altri file mentre una conversione è già in corso, cosa comoda se ti arrivano più allegati in sequenza. Con la 0.11.1, invece, si può disattivare del tutto il controllo degli aggiornamenti, utile negli ambienti aziendali o sui computer che non devono contattare server esterni.
Il trucco che cambia l’esperienza d’uso, però, è un altro. Dangerzone può essere scelto come programma predefinito per aprire PDF e documenti Office. Su Windows basta fare clic con il tasto destro su un PDF, scegliere “Apri con”, poi “Scegli un’altra app” e selezionare Dangerzone con l’opzione per usarlo sempre. Da quel momento il doppio clic su un allegato avvia la conversione, e il lettore abituale si apre solo sulla copia pulita. Se ricevi spesso documenti da persone che non conosci, è l’impostazione che dovresti adottare.
Chi preferisce il terminale trova dangerzone-cli, installato insieme al programma su Linux. Su macOS si trova in /Applications/Dangerzone.app/Contents/MacOS/dangerzone-cli; su Windows, invece, si trova nella cartella di installazione del programma. Ecco gli usi più comuni:
# Conversione semplice, crea fattura-safe.pdf nella stessa cartella
dangerzone-cli fattura.pdf
# Conversione con OCR in italiano
dangerzone-cli --ocr-lang ita contratto.docx
# Più file insieme, con gli originali spostati in una sottocartella
dangerzone-cli --archive *.pdf
# Nome e percorso del file finale scelti a mano
dangerzone-cli curriculum.pdf -o ~/Documenti/curriculum-pulito.pdf
# Lettura da standard input, novità della versione 0.11.1
cat allegato.pdf | dangerzone-cli - -o allegato-sicuro.pdf
L’ultima opzione è interessante per chi automatizza. La 0.11.1 accetta infatti il documento in ingresso dallo standard input e può scrivere il PDF pulito sullo standard output con -o -, mentre i messaggi di stato finiscono su un canale separato. In pratica Dangerzone si può inserire in uno script che scarica gli allegati da una casella di posta, li converte e archivia solo le copie sicure, senza passare per file temporanei. Su Windows e macOS, inoltre, l’opzione --linger mantiene accesa la macchina virtuale di Podman tra una conversione e l’altra, accorciando i tempi quando devi elaborare molti documenti di seguito (ricordati però di spegnerla a mano alla fine).
Cosa si perde nel PDF ripulito
La protezione ha un prezzo, ed è giusto conoscerlo prima di adottare il programma. Il PDF finale è una sequenza di immagini, quindi i collegamenti non sono più cliccabili, i moduli non si possono compilare e i segnalibri spariscono. Lo stesso vale per la firma digitale. Un documento firmato digitalmente, per esempio un atto ricevuto via PEC, perde nella copia pulita qualsiasi valore legale, perciò l’originale va conservato e, se serve, verificato con gli strumenti appositi.
Anche il testo cambia natura. Senza OCR non si può copiare né cercare, mentre con l’OCR attivo torna utilizzabile ma con gli errori tipici del riconoscimento automatico, più frequenti nelle tabelle, nei caratteri molto piccoli e nelle pagine scansionate male. Un file Excel, inoltre, diventa una serie di pagine statiche, senza formule e senza la possibilità di modificare i dati. Il risultato pesa in genere più di un PDF testuale nonostante la compressione, e la conversione richiede tempo, poco per un paio di pagine ma sensibilmente di più per documenti lunghi con l’OCR attivo. Su Windows c’è da mettere in conto anche il consumo di memoria della macchina virtuale.
C’è poi un limite di natura diversa, che riguarda il contenuto. Dangerzone neutralizza il codice, non l’inganno. Una falsa fattura con un IBAN sbagliato, una comunicazione che imita la tua banca o un codice QR che rimanda a un sito di phishing restano perfettamente leggibili nella copia pulita, perché il programma ne conserva l’aspetto fedelmente. La valutazione su ciò che il documento chiede di fare spetta sempre a chi lo legge.
Infine il programma lavora solo sui formati supportati, cioè PDF, documenti Office e OpenDocument, file HWP, EPUB e le immagini più diffuse come JPEG, PNG, GIF, TIFF e SVG. Archivi compressi, eseguibili e video restano esclusi, e per quelli servono altre precauzioni. In questo senso Dangerzone si affianca bene a un firewall applicativo come Portmaster, che controlla quali programmi comunicano con l’esterno, più che sostituire l’antivirus.
Il suffisso -safe come abitudine per ogni allegato sconosciuto
Fino a pochi anni fa, Dangerzone richiedeva Docker Desktop e una certa pazienza, mentre oggi si installa come un qualsiasi programma e, una volta impostato come app predefinita per PDF e documenti Office, lavora quasi senza farsi notare. Il doppio clic su un allegato produce una copia con il suffisso -safe, ed è quella copia che finisce nel lettore. Il resto del flusso di lavoro rimane identico.
Non è uno strumento per tutti i file né per tutte le situazioni. La perdita di link, firme e testo nativo lo rende poco adatto ai documenti che devi modificare o conservare con valore legale, e l’OCR non è infallibile. Tuttavia, per la categoria più a rischio, cioè i file inviati da persone che non conosci, il compromesso è più che ragionevole. Penso a chi, in un piccolo ufficio, smista curriculum e preventivi e al professionista che riceve documentazione da nuovi clienti. Pochi secondi di attesa in più a ogni apertura sono un costo modesto rispetto alla tranquillità di sapere che nessun documento, per quanto confezionato con cura, potrà eseguire codice sul tuo computer.
