Comment caviarder correctement des informations sensibles dans un PDF

Caviarder un PDF est une de ces tâches qui semblent faciles et qui tournent mal de façon spectaculaire. Tirer un rectangle noir sur un nom dans Acrobat ou Preview cache le nom visuellement mais laisse le texte original dans le document, récupérable en quelques secondes par n'importe qui avec un lecteur PDF gratuit. Des fuites très médiatisées aux Nations unies, au ministère américain de la Justice et chez les avocats de Manafort ont toutes mis en cause précisément cette erreur. Un caviardage correct supprime le texte du document de façon permanente, ce qui est plus difficile qu'il n'y paraît et bénéficie d'un outil conçu pour ça.

Une brève histoire des caviardages PDF ratés

Les ratés de caviardage PDF sont une histoire récurrente depuis plus de vingt ans. En mai 2005, l'armée américaine a publié un rapport sur la mort du journaliste italien Nicola Calipari en Irak avec des sections sensibles « caviardées » par des surimpressions noires ; les journalistes italiens qui ont téléchargé le PDF ont pu sélectionner et copier le texte sous-jacent en quelques minutes. En 2009, le ministère américain de la Justice a publié une note sur les interrogatoires renforcés avec le même défaut. En 2019, les avocats de Paul Manafort ont déposé un document judiciaire avec des caviardages noirs entre crochets qui se sont révélés être des boîtes transparentes, exposant des détails de ses contacts avec Konstantin Kilimnik. La même année, un dossier confidentiel Boeing destiné à la FAA sur le système MCAS du 737 MAX est arrivé aux journalistes entièrement lisible parce que les caviardages n'étaient que des formes.

Le motif est si constant que la NSA a publié le guide « Redacting with Confidence » fin 2005, et Adobe comme Foxit ont expédié des modes de caviardage dédiés les années suivantes. La leçon centrale : un outil de caviardage doit supprimer le texte sous-jacent et le remplacer par une marque opaque ; couvrir visuellement avec un rectangle ne suffit jamais.

Pourquoi couvrir visuellement échoue

Un PDF stocke une page comme un flux de contenu : une séquence d'opérateurs de dessin qui placent texte, lignes, rectangles et images sur la page. Quand vous dessinez un rectangle noir sur un nom dans Acrobat, le PDF contient maintenant à la fois l'opérateur texte (écrire le nom) et l'opérateur rectangle (dessiner la boîte par-dessus). Le lecteur rend les deux, dans l'ordre, produisant une page où le nom est caché visuellement. L'opérateur texte est toujours dans le fichier, indexable, copiable et récupérable par n'importe quel parseur PDF. Adobe Reader lui-même vous laissera sélectionner le texte caché avec Ctrl+A et le coller dans Bloc-notes.

Les champs de formulaire, commentaires et métadonnées sont stockés dans des dictionnaires entièrement séparés dans le PDF et ne sont pas du tout affectés par les surimpressions visuelles. Un PDF « caviardé » qui a toujours le nom de l'auteur dans les métadonnées, des commentaires faisant référence au texte caviardé par son nom, ou des valeurs de champ de formulaire contenant les données originales fuite tout autant qu'un PDF avec du texte sous un rectangle.

Comment fonctionne un vrai outil de caviardage

Un vrai caviardage fait trois choses :

1. Supprime le contenu texte du flux de contenu aux régions caviardées, pour que tout parseur futur voie la marque de caviardage, pas le texte original.
2. Supprime toute métadonnée qui faisait référence au contenu original, y compris auteur du document, dernier éditeur, logiciel, nom de fichier original, et tout champ XMP personnalisé.
3. Supprime champs de formulaire, commentaires et pièces jointes qui chevauchent ou référencent les régions caviardées.
4. Remplace la zone par une marque opaque (généralement un rectangle noir, parfois avec une raison de caviardage comme « [FOIA exemption b6] ») dessinée par-dessus le contenu désormais vide.

Les outils de caviardage basés navigateur utilisant pdf-lib ou PDF.js peuvent faire tout ça en JavaScript sans téléverser le fichier. Le PDF caviardé est reconstruit localement et proposé en téléchargement. Comme l'original ne quitte jamais votre appareil, la garantie de confidentialité est totale.

Comment caviarder un PDF, étape par étape

1. Téléversez le PDF. Déposez le fichier sur la page. L'outil le lit en mémoire et affiche la première page en aperçu. Rien n'est téléversé.
2. Trouvez ce qu'il faut caviarder. Utilisez la recherche texte pour trouver noms, numéros de compte, dates de naissance, adresses, ou toute autre chaîne sensible récurrente. L'outil surligne chaque occurrence.
3. Marquez les régions de caviardage. Cliquez et faites glisser pour dessiner un rectangle, ou cliquez sur « caviarder toutes les correspondances » pour appliquer la marque à toutes les instances trouvées d'un coup.
4. Ajoutez optionnellement un libellé de raison. Les flux gouvernementaux (FOIA, article 17 RGPD, HIPAA) exigent souvent que le caviardage soit étiqueté avec la base légale. Tapez le libellé et il est dessiné dans le rectangle.
5. Appliquez le caviardage. C'est l'étape clé : elle supprime de façon permanente le texte sous les rectangles du flux de contenu, retire les métadonnées et sauve un nouveau PDF avec les marques gravées.
6. Vérifiez le résultat. Ouvrez le PDF caviardé, essayez Ctrl+A puis Ctrl+C et collez dans un éditeur de texte. Vous devriez voir les libellés de caviardage (ou rien) où était le texte original, jamais le texte original lui-même.

Ce qu'il faut caviarder

Les cas évidents sont noms, adresses, numéros de téléphone, e-mails et numéros de compte. Les moins évidents causent la plupart des fuites du monde réel :

La dernière ligne est particulièrement importante : une capture d'écran d'un CRM montrant une fiche client, intégrée au PDF comme image matricielle, ne sera pas caviardée par les outils niveau texte. L'image elle-même doit être peinte par-dessus.

Pièges courants

• Boîte noire dans Word puis réexport en PDF. Le texte sous la boîte est toujours dans le document Word et survit à l'export. Même si votre page visible semble propre, le flux de contenu PDF contient l'original.
• Utiliser surlignage + changement de couleur en noir. Le surlignage est une annotation de commentaire, pas un changement de flux de contenu. N'importe qui peut supprimer l'annotation pour révéler l'original.
• Oublier les métadonnées. Un mémo caviardé avec « Auteur : Jean Dupont » dans les propriétés du document vous dit qui l'a écrit, même si tous les noms dans le corps sont caviardés.
• Oublier les commentaires. Les relecteurs Adobe et PDFelement ajoutent souvent des commentaires faisant référence à des noms qui sont caviardés dans le corps. Supprimez tous les commentaires.
• Oublier l'historique des champs de formulaire. Les formulaires PDF remplis peuvent porter les valeurs de soumissions précédentes dans leur dictionnaire AcroForm. Aplatir supprime le champ, mais la valeur peut rester dans l'historique du document.
• Ne pas caviarder les images de texte. OCR le document, identifiez les boîtes englobantes de texte, puis peignez par-dessus ces régions dans l'image elle-même, pas seulement la couche texte OCR.
• Confondre imprimer-en-PDF avec caviardage. Imprimer en PDF rasterise la page, ce qui supprime la couche texte, mais produit un fichier beaucoup plus gros et perd la recherche. C'est un contournement lourd, pas un caviardage.
• Partager l'original par erreur. Renommez toujours le fichier caviardé avec un suffixe clair (-caviarde.pdf) pour ne pas joindre l'original par accident.
• Se fier à la revue visuelle seule. Le PDF caviardé peut sembler parfait et toujours fuir. Testez toujours en sélectionnant tout le texte et copiant, en extrayant les métadonnées avec pdfinfo ou exiftool, et en vérifiant la taille du fichier comparée à l'original.
• « Caviardage » par permission. Verrouiller un PDF avec un mot de passe ou restreindre la copie n'est pas un caviardage. Les données sont toujours dans le fichier et les restrictions sont consultatives ; les outils de retrait de mot de passe PDF sont à un clic.

Outils alternatifs et flux

Pour un dépôt légal ponctuel ou une candidature, l'outil navigateur est la bonne réponse. Pour le caviardage par lots de centaines de demandes FOIA, Acrobat Pro ou un pipeline scripté qpdf + pdftotext s'amortit. Pour caviarder des scans riches en images, lancez d'abord l'OCR puis caviardez les boîtes englobantes à la fois dans la couche texte OCR et le raster sous-jacent.

Liste de vérification avant partage

Avant d'envoyer un PDF caviardé hors de votre équipe, parcourez cette liste :

• Sélectionnez tout le texte (Ctrl+A) et copiez dans un éditeur. Les chaînes caviardées ne doivent pas apparaître.
• Ouvrez les métadonnées : exiftool fichier.pdf ou utilisez la boîte de dialogue propriétés du lecteur PDF. Auteur, créateur, dernier éditeur, nom de fichier original, champs XMP personnalisés doivent tous être vides ou anonymes.
• Vérifiez commentaires et annotations explicitement. Le panneau commentaires d'Acrobat, la liste d'annotations de Preview, ou pdftotext -layout les feront tous remonter.
• Confirmez que la taille du fichier est matériellement plus petite que l'original (texte et métadonnées supprimés doivent réduire la taille). Un PDF caviardé de même taille que l'original est suspect.
• Pour les documents avec images : ouvrez dans un visionneur d'images et zoomez sur les zones caviardées. Certains visionneurs révèlent le contenu image sous les surimpressions.
• Pour les documents multi-pages : vérifiez au moins la première, la dernière et trois pages aléatoires du milieu. Cherchez à nouveau les noms caviardés pour être sûr qu'aucune occurrence n'a été manquée.

Confidentialité et le caviardeur

Le caviardeur PDF navigateur tourne entièrement dans la mémoire de votre appareil. Le fichier que vous déposez est lu par l'API File, parsé par pdf-lib ou PDF.js en JavaScript, rerendu avec les caviardages appliqués, et proposé en téléchargement. Rien n'est téléversé, rien n'est journalisé, rien n'est mis en cache côté serveur. Pour les matériaux sensibles (dépôts judiciaires, dossiers médicaux, réponses FOIA, notifications de fuite), ce flux strictement local est la différence entre un caviardage que vous contrôlez et un caviardage qu'il faut confier à quelqu'un d'autre. L'outil entier peut tourner hors-ligne une fois la page chargée, ce que vous pouvez vérifier en coupant le réseau et en caviardant un autre fichier.