Pourquoi les PDF « caviardés » laissent encore fuir leur texte

Vous masquez un nom. Vous dessinez un beau rectangle sombre sur un numéro de sécurité sociale, un montant de salaire, le nom d’un témoin. Le PDF a l’air caviardé. Vous l’envoyez par e-mail, vous le classez, vous le publiez. Et le texte en dessous est toujours là, parfaitement intact, attendant la première personne qui aura l’idée de faire glisser son curseur sur la page.

C’est l’une des fuites de données les plus courantes et les plus gênantes qui soient, et elle survient à cause d’un simple malentendu sur la façon dont les PDF sont construits.

En bref : un rectangle noir, c’est de la peinture posée sur la page, pas une gomme. Les caractères en dessous restent dans le fichier et peuvent être copiés, extraits ou mis à découvert en quelques secondes. Un vrai caviardage efface le texte de la page, ou bien vous aplatissez la page en une image plate afin qu’il ne reste plus rien de récupérable.

Un PDF, ce sont des couches, pas une photo

Quand vous regardez un PDF, vous voyez une page terminée. À l’intérieur du fichier, cette page est un ensemble d’instructions. Il existe un flux de contenu qui dit « dessine la lettre J à cette position, puis la lettre o, puis h, puis n », accompagné de la police, de la taille et des coordonnées. Ces instructions de caractères, c’est le vrai texte. Ce sont elles qui vous permettent de sélectionner un paragraphe et de le copier.

Quand vous ouvrez le fichier dans une visionneuse ou un éditeur d’image classique et que vous dessinez un rectangle sur un mot, vous ne touchez pas du tout à ce flux de contenu. Vous ajoutez un nouvel objet par-dessus. En langage PDF, il s’agit en général d’une annotation ou d’une forme vectorielle, peinte en dernier pour passer au-dessus de tout le reste. Visuellement, elle recouvre le mot. Sur le plan structurel, le mot reste intact, une couche plus bas, à s’épeler en entier.

Le rectangle et le texte coexistent donc. Le rectangle cache le texte à vos yeux. Il ne cache rien au fichier.

Comment le texte ressort

Vous n’avez pas besoin d’un laboratoire de criminalistique pour venir à bout d’un faux caviardage. Il existe au moins trois méthodes triviales.

Sélectionner et copier. Ouvrez le PDF, faites glisser le curseur sur la zone noircie comme si vous la surligniez, puis collez le résultat dans n’importe quel champ de texte. Les caractères sous le rectangle ressortent aussitôt, car la sélection lit le flux de contenu, pas les pixels que vous voyez.

Extraire le texte. N’importe quel outil qui extrait le texte d’un PDF, y compris le champ de recherche de votre propre lecteur, lit ce même flux sous-jacent. Cherchez un nom que vous pensiez avoir caché et regardez-le s’illuminer sous son propre rectangle noir.

Supprimer le rectangle. Ce rectangle n’est qu’un objet parmi d’autres. Un éditeur peut le sélectionner et le retirer, et le mot d’origine apparaît en dessous, inchangé. Le « caviardage » n’avait que la profondeur d’une touche de clavier.

Rien de tout cela n’a quoi que ce soit d’exotique. Le texte n’avait jamais disparu. Il était seulement hors de vue.

Cela continue d’arriver à des gens qui devraient s’y connaître

Ce n’est pas une erreur réservée aux débutants. Des tribunaux, des cabinets d’avocats, des administrations et de grandes entreprises ont tous diffusé des documents où des noms, des adresses et des chiffres sensibles restaient récupérables sous des rectangles noirs.

Dans certaines procédures judiciaires très médiatisées, des avocats ont caviardé des noms de témoins et des détails confidentiels avec des rectangles posés en surimpression, et des journalistes ont extrait en quelques minutes le texte censé être caché du PDF publié. Des organismes publics ont diffusé des contrats et des rapports dont les prix ou les données personnelles étaient « noircis » mais se copiaient sans peine. Le schéma se répète parce que l’échec ressemble à une réussite. Le document paraît caviardé à l’écran, la personne voit une jolie barre noire, et elle suppose que le travail est fait. La fuite reste invisible jusqu’à ce que quelqu’un aille chercher, et à ce moment-là le fichier est déjà public.

Si des organisations dotées d’équipes juridiques continuent de faire cela, le constat honnête est que l’outil les a trompées, pas qu’elles ont été négligentes. Un rectangle noir dans le mauvais flux de travail est un piège déguisé en fonctionnalité.

Ce que signifie vraiment un caviardage réussi

Un vrai caviardage a une seule exigence : le contenu sensible ne doit plus exister dans le fichier. Ni caché, ni recouvert, ni derrière une couche. Disparu des instructions de la page.

Il y a deux façons fiables d’y parvenir.

Retirer le contenu, puis aplatir. Un caviardage correct supprime le texte sous-jacent et tout objet présent dans la zone recouverte du flux de contenu, puis écrit une page propre. Après cela, sélectionner la zone ne donne rien, parce qu’il n’y a rien. La recherche ne trouve rien. Il n’y a pas de rectangle à supprimer, car les mots qu’il cachait n’existent plus. C’est ce que « caviarder » devrait vouloir dire, et c’est différent de « dessiner un rectangle ».

Recouvrir, puis rasteriser. L’autre approche fiable consiste à placer vos marques de recouvrement, puis à convertir la page en une image plate, de sorte que la page devienne des pixels plutôt que du texte additionné de formes. Une page rasterisée n’a aucun caractère sélectionnable et aucune couche de rectangle séparable. Ce que vous voyez correspond réellement à tout ce que contient le fichier. La contrepartie, c’est que toute la page perd son vrai texte : elle n’est plus consultable ni copiable où que ce soit, et le fichier est en général plus volumineux. Pour une seule page d’un document qui ne doit jamais fuir, ce compromis en vaut souvent la peine.

Les deux approches partagent le même principe. Le texte caché ne se trouve pas derrière quelque chose. Il est détruit.

Une règle de décision réellement applicable

Voici la règle que je donnerais à toute personne qui manipule des documents sensibles.

Si cela ne posait aucun problème que le texte recouvert ressurgisse plus tard, alors vous n’avez pas vraiment besoin de caviardage, et un rectangle visuel ne regarde que vous. Si le texte recouvert ne doit jamais pouvoir être récupéré, un rectangle visuel ne suffit pas et ne suffira jamais. Dans ce cas, vous avez deux issues acceptables : utiliser un vrai caviardage qui supprime le contenu sous-jacent, ou recouvrir la zone puis rasteriser ou aplatir la page afin qu’elle ne porte aucun texte récupérable. Tout ce qui laisse les caractères d’origine dans le fichier n’est pas du caviardage. C’est un déguisement.

Une dernière habitude à conserver. Après avoir caviardé, testez votre propre travail avant d’envoyer. Ouvrez le fichier terminé, essayez de sélectionner la zone que vous avez cachée et collez-la quelque part. Lancez une recherche sur le nom ou le numéro exact que vous vouliez retirer. Si rien ne ressort et que rien n’est trouvé, le caviardage a tenu. Si le texte apparaît, vous venez d’intercepter une fuite avant qu’elle ne quitte votre machine, c’est-à-dire exactement là où vous voulez l’intercepter.

Faire tout cela sans téléverser le document

Il y a un détail troublant dans toute cette affaire. Les documents qui ont le plus besoin d’être caviardés (contrats, dossiers médicaux, pièces judiciaires, documents d’identité) sont précisément ceux que vous voulez le moins téléverser sur le serveur d’un inconnu juste pour masquer une ligne. Envoyer un fichier confidentiel à un outil en ligne pour le rendre plus confidentiel est en soi une forme de fuite.

C’est pourquoi le caviardage a sa place dans des outils qui s’exécutent entièrement dans votre navigateur, où le fichier ne quitte jamais votre appareil. Des outils PDF locaux pour caviarder, aplatir et rasteriser les pages arrivent bientôt sur pdf.hivly.net, conçus pour que le travail se fasse sur votre machine, sans téléversement ni compte. Le principe est simple. Si vous retirez des secrets d’un fichier, l’acte de les retirer ne devrait pas remettre ce fichier à quelqu’un d’autre.

En attendant, retenez la seule chose qui compte. Un rectangle noir, c’est de la décoration. Si le texte doit disparaître, faites-le disparaître.