$ pdftk fichero-a-encriptar.pdf output fichero-encriptado.pdf owner_pw yo user_pw tu
O la versión Docker, usando la imagen yajo/pdftk-encrypt:
$ docker run --rm -i -e OWNER_PW=yo -e USER_PW=tu yajo/pdftk-encrypt < fichero-a-encriptar.pdf > fichero-encriptado.pdf