Comment caviarder un PDF correctement et pourquoi un rectangle noir ne suffit pas

L'échec de caviardage est l'une des erreurs documentaires les plus régulièrement répétées. Des pièces judiciaires, des rapports gouvernementaux, des dossiers réglementaires et des contrats d'entreprise ont été publiés avec des éléments sensibles que n'importe qui pouvait récupérer en sélectionnant la zone noircie et en appuyant sur Ctrl+C. Les organisations concernées n'étaient pas des amateurs négligents : c'étaient des cabinets d'avocats et des administrations disposant de professionnels du document en interne.

L'erreur est toujours la même, et elle découle d'une méprise compréhensible sur ce qu'est un PDF. Ce guide explique ce qui se passe réellement, et comment caviarder un document pour que l'information soit véritablement supprimée et non simplement masquée.

Pourquoi un rectangle noir n'est pas un caviardage

Une page PDF n'est pas une image de page. C'est un ensemble d'instructions superposées : dessine ce texte, dans cette police, à ces coordonnées ; dessine cette image ici ; remplis ce rectangle en noir. Une visionneuse PDF exécute ces instructions dans l'ordre et vous montre le résultat.

Lorsque vous utilisez un outil d'annotation ou de dessin pour poser un rectangle noir sur un nom, vous n'avez pas supprimé l'instruction qui dessine ce nom. Vous avez ajouté une nouvelle instruction, exécutée ensuite, qui remplit un rectangle en noir. Les deux sont toujours dans le fichier. La visionneuse dessine le nom puis le recouvre : visuellement le nom est masqué ; structurellement il est exactement là où il était.

Le texte est récupérable par quiconque le souhaite, sans aucun outil spécialisé : copier-coller, un extracteur de texte automatique, ou simplement la suppression de la couche d'annotations, que beaucoup d'éditeurs PDF effectuent en un clic puisque les annotations sont conçues pour être supprimables.

Les quatre façons dont le caviardage échoue

Les rectangles noirs cosmétiques sont la défaillance la plus courante, mais pas la seule. Ces quatre cas expliquent l'essentiel des fuites de caviardage constatées :

Le dernier mérite une attention particulière car il est invisible. Le PDF prend en charge l'enregistrement incrémental : lorsqu'un fichier est modifié, les changements peuvent être ajoutés à la fin plutôt que de réécrire l'ensemble du fichier. Autrement dit, un document peut contenir ses propres versions antérieures. Si vous caviardez un nom et que l'éditeur enregistre de façon incrémentale, la version d'avant le caviardage peut rester dans le fichier, complète et lisible, sous celle que vous voyez.

Ce que fait un vrai caviardage

Un caviardage authentique supprime le contenu au lieu de le masquer. Une mise en œuvre correcte réalise plusieurs opérations distinctes :

1. Il supprime les objets de contenu sous-jacents. Les caractères, les données d'image ou les tracés vectoriels de la zone caviardée sont retirés du flux de contenu de la page — non pas recouverts, mais retirés.
2. Il dessine une marque opaque à leur place. Généralement un rectangle noir, pour que le lecteur voie que des éléments ont été retenus. C'est la partie que tout le monde réussit ; sans l'étape précédente, elle ne veut rien dire.
3. Il réécrit intégralement le fichier. Le résultat est écrit comme un nouveau PDF plutôt qu'ajouté à l'original, ce qui élimine l'historique d'enregistrement incrémental et toute version antérieure récupérable.
4. Il purge les métadonnées associées. Les propriétés du document, les commentaires intégrés, les valeurs des champs de formulaire et les pièces jointes sont effacés, car des données sensibles se cachent dans chacun d'eux.

Caviarder un PDF en quatre étapes

Le caviardage avec PdfDocShift supprime le contenu sous-jacent au lieu de le recouvrir et produit un fichier de sortie propre. Aucune installation ni inscription, et les fichiers envoyés sont définitivement supprimés de nos serveurs au bout de deux heures.

Ce que tout le monde oublie : les métadonnées

Vous pouvez caviarder chaque page parfaitement et malgré tout divulguer précisément ce que vous cherchiez à protéger, car un PDF transporte une quantité substantielle d'informations qui n'apparaissent sur aucune page.

• Champs auteur et créateur. Ils contiennent généralement le nom du titulaire de la licence du logiciel ayant produit le fichier — souvent une personne nommément identifiée dans un cabinet identifié.
• Nom de fichier d'origine. Fréquemment conservé dans les propriétés du document. Durand_licenciement_projet_v3.pdf en dit long avant même d'ouvrir une page.
• Horodatages de création et de modification. Ils établissent à quel moment un document a existé, ce qui peut peser lourd en contentieux ou lors d'une demande de communication.
• Commentaires et annotations. Les notes de relecture et les modifications suivies voyagent avec le fichier et ne font pas partie de la page visible.
• Valeurs des champs de formulaire. Un formulaire rempli peut conserver les valeurs saisies même lorsque le rendu visible a été caviardé.
• Pièces jointes intégrées. Un PDF peut transporter des fichiers entiers en son sein — tableurs, autres PDF — sans aucun indice visible sur la moindre page.

Avant de diffuser un document caviardé, aplatissez-le avec Aplatir PDF afin de convertir les champs de formulaire et les annotations en contenu de page statique, puis vérifiez les propriétés du document dans n'importe quelle visionneuse. Si le fichier est destiné à une partie adverse — avocat de la partie adverse, régulateur, journaliste — partez du principe que chaque champ sera examiné, car il le sera.

Caviarder des documents numérisés

Les documents numérisés posent le problème inverse, et le point contre-intuitif est qu'ils sont plus sûrs par défaut. Une numérisation pure est une image : il n'y a pas de couche de texte, donc un rectangle noir dessiné dessus, une fois aplati dans l'image, supprime réellement les pixels.

Le danger apparaît lorsque la numérisation est passée par l'OCR. Lancer l'OCR ajoute sous l'image une couche de texte invisible qui rend le document consultable — et cette couche n'est en rien affectée par ce que vous dessinez sur l'image au-dessus. Un contrat numérisé passé par OCR puis caviardé avec un outil de dessin fuit exactement comme un PDF natif, avec le risque supplémentaire qu'il ressemble à un fichier image sans danger.

Comment vérifier qu'un caviardage a fonctionné

Ne diffusez jamais un document caviardé sans le contrôler. La vérification prend environ une minute et détecte toutes les défaillances courantes :

1. Sélectionnez et copiez. Ouvrez le fichier caviardé, sélectionnez tout le texte de chaque page caviardée (Ctrl+A ou Cmd+A), copiez-le et collez-le dans un éditeur de texte brut. Cherchez dans le texte collé les termes que vous avez supprimés. Rien ne doit apparaître.
2. Recherchez dans le document. Utilisez la fonction de recherche de la visionneuse pour chercher un nom ou un chiffre caviardé. Un caviardage cosmétique produira quand même une correspondance — derrière le rectangle noir.
3. Vérifiez les propriétés. Ouvrez les propriétés du document et lisez les champs auteur, titre, sujet et mots-clés. Confirmez qu'aucun nom de fichier d'origine ni nom de personne n'y subsiste.
4. Comparez les tailles de fichier. Un fichier correctement caviardé est normalement légèrement plus petit que l'original, puisque du contenu a été supprimé. Un fichier caviardé nettement plus gros suggère que des éléments ont été ajoutés par-dessus plutôt que retirés — un indice fort que le caviardage est cosmétique.
5. Faites vérifier par quelqu'un d'autre. Pour tout enjeu réellement sérieux, la personne qui a réalisé le caviardage est la plus mal placée pour le vérifier : elle sait où sont les marques et regardera précisément à ces endroits.

Si le document est diffusé à un groupe restreint plutôt que publié, envisagez d'ajouter un mot de passe avec Protéger PDF comme seconde couche. Ce n'est pas un substitut à un caviardage correct — le chiffrement protège un fichier en transit, pas son contenu une fois ouvert — mais cela limite la rediffusion négligente d'un document destiné à quelques personnes seulement.

Questions fréquentes