Les outils PDF en ligne sont-ils sûrs ?

Vous devez réduire la taille d'un PDF avant une échéance. Vous effectuez une recherche, cliquez sur le premier résultat, déposez le fichier et quatre secondes plus tard vous avez un fichier plus petit. Ça a marché. C'était gratuit. Personne ne vous a demandé de signer quoi que ce soit. Quelque part durant ces quatre secondes, une copie complète de votre document a été écrite sur un disque dans un bâtiment dont vous n'avez jamais entendu parler — et la réponse honnête à savoir si cela représente un problème est : cela dépend entièrement du document.

Ce que signifie réellement « téléverser »

Le mot donne l'impression d'un transfert. C'est une copie. Lorsque vous déposez un fichier dans un outil web conventionnel, les octets quittent votre appareil et atterrissent sur un serveur qui ne vous appartient pas. Pour effectuer le travail, ce serveur doit écrire votre fichier quelque part — au minimum en mémoire, mais concrètement sur disque. En cours de route, il peut passer par un équilibreur de charge (load balancer), une file d'attente (queue) et un réseau de diffusion de contenu (content delivery network), chacun pouvant y enregistrer des informations à son sujet.

Ensuite, l'outil vous envoie un résultat, et la copie de votre document commence une vie que vous ne pouvez pas observer. Peut-être qu'elle est supprimée dans une heure. Peut-être qu'elle reste dans une sauvegarde pendant quatre-vingt-dix jours parce que les sauvegardes n'ont pas connaissance des politiques de suppression. Peut-être qu'une erreur a poussé une copie dans un agrégateur de journaux (log aggregator). Vous ne pouvez rien en déduire de l'extérieur, et aucune lecture de la page ne vous le dira.

Soyons justes : souvent, cela n'a réellement pas d'importance

Il serait malhonnête d'impliciter que chaque téléversement est un désastre. De nombreux documents ne contiennent aucun secret significatif. Une affiche pour une fête scolaire. Une brochure publique. Une recette. Si le document est déjà public, ou si son fuite ne serait pas remarquable, le téléverser ne vous coûte rien de réel, et un service bien géré s'en chargera avec compétence.

De nombreux services basés sur le téléversement sont également exploités par des entreprises sérieuses disposant de programmes de sécurité authentiques, de politiques de rétention réelles et de personnel soucieux. Le problème n'est pas qu'ils soient malveillants. Le problème est que vous étendez votre confiance sans pouvoir la vérifier — et c'est un excellent marché pour une affiche et un mauvais pour un rapport médical.

Les questions à se poser

Si vous êtes sur le point de téléverser quelque chose d'important, voici les éléments qui déterminent réellement le risque :

• Qui l'exploite, et où ? Un outil gratuit sans nom d'entreprise, sans adresse ni canal de support n'est pas un partenaire auquel on peut se fier.
• Pendant combien de temps le fichier est-il conservé ? « Supprimé après une heure » est une affirmation. Demandez-vous si vous pourriez savoir que ce n'était pas vrai. Vous ne pourriez pas.
• Que stipulent réellement les conditions ? Certains services gratuits revendiquent une licence large sur le contenu que vous soumettez, afin d'exploiter le service. Il s'agit souvent de clauses standard bénignes — mais il est utile de savoir que vous y avez consenti.
• Qui d'autre y accède ? Les services utilisent des sous-traitants : hébergement, stockage, suivi des erreurs. Le parcours de votre fichier peut ne pas s'arrêter à l'entreprise que vous avez choisie.
• Est-ce que cela est financé par quelque chose de visible ? Les infrastructures coûtent cher. S'il n'y a pas de modèle économique visible, il est raisonnable de se demander quelle est la nature de l'actif.

Où cela cesse d'être un jugement

Pour certaines catégories, le téléversement n'est pas une gestion des risques — c'est un problème que vous avez créé pour quelqu'un d'autre :

• Tout contenant les données personnelles de tiers. Un tableur de clients, un CV, une lettre de patient. Dans des régimes comme le RGPD, l'envoi de données personnelles à un tiers fait de ce dernier un sous-traitant agissant en votre nom — ce qui est censé impliquer une base légale et un accord. Un site web aléatoire que vous avez trouvé il y a cinq minutes ne l'est pas.
• Tout soumis à une obligation de confidentialité. Des documents juridiques, des procès-verbaux du conseil d'administration, tout ce qui est couvert par un NDA. L'obligation vous incombe ; un outil gratuit ne l'a pas signé.
• Documents d'identité et financiers. Scans de passeports, relevés bancaires, fiches de paie. Ce sont les entrées précises dont le fraude à l'identité a besoin.
• Tout que vous vérifiez parce qu'il est sensible. Téléverser un fichier pour savoir s'il contient des informations cachées signifie le divulguer afin de savoir s'il était divulguable. La vérification se contredit elle-même.

L'alternative axée sur l'appareil local

Les navigateurs modernes peuvent effectuer de véritables opérations. Le code compilé s'exécute sur la page à une vitesse proche du natif, ce qui signifie que de nombreuses opérations sur documents qui nécessitaient autrefois un serveur — compression, fusion, rotation, extraction de pages, ajout d'un filigrane, lecture des métadonnées — peuvent fonctionner sur votre propre appareil, dans l'onglet, sans que le fichier ne quitte jamais cet appareil.

La distinction est simple et physique : soit les octets ont traversé le réseau, soit ils ne l'ont pas fait. S'ils n'y sont pas allés, les politiques de rétention, les sous-traitants et les notifications de violation sont tous sans objet, car il n'y a rien de l'autre côté à retenir.

Les outils locaux CyvoDocOps fonctionnent de cette manière. Pour les opérations prises en charge, votre document est traité dans votre navigateur et n'est pas téléchargé sur un serveur.

Voir les outils locaux

Ne croyez pas cette affirmation — testez-la

« Vos fichiers ne quittent jamais votre appareil » est un argument marketing tant que vous ne vérifiez pas, et cela inclut lorsque nous le disons. Heureusement, c'est l'une des rares affirmations de sécurité qu'une personne ordinaire peut vérifier en moins d'une minute :

1. Le test hors ligne. Chargez la page de l'outil, puis déconnectez-vous d'Internet — mode avion ou débranchez le câble. Utilisez ensuite l'outil. S'il accomplit la tâche sans connexion, le fichier n'est manifestement allé nulle part. S'il échoue ou se bloque, il avait besoin d'un serveur.
2. Le test réseau. Ouvrez les outils de développement de votre navigateur (F12), sélectionnez l'onglet Réseau et exécutez l'opération. Surveillez toute requête transportant votre fichier. Un outil local n'affiche aucun téléchargement du document — la taille le révèle ; vous ne pouvez pas envoyer un fichier de 12 Mo dans une requête de 400 octets.
3. Vérifiez ce que la page demande. Un outil qui nécessite un compte ou une adresse e-mail avant de traiter les données a une raison de le vouloir, et cette raison n'est pas la compression.

Appliquez ceci à tout outil faisant cette affirmation. Un service confiant dans son architecture n'a aucune raison de s'inquiéter que vous vérifiiez, et celui qui échoue au test vous a donné une information qu'aucune politique de confidentialité ne pourrait fournir.

Là où le local-first cesse réellement

Il serait hypocrite de consacrer une page à exiger l'honnêteté, puis d'en faire trop. Le traitement local n'est pas exempt de compromis :

• Certains travaux nécessitent un moteur puissant. La conversion fiable de documents Word, Excel ou PowerPoint, ainsi que l'OCR précis, exigent une machinerie substantielle. Plutôt que de proposer une version navigateur qui produit silencieusement des résultats médiocres, ces outils résident dans l'application mobile, où le moteur fonctionne sur votre appareil. Nous préférons le dire plutôt que de vous fournir un résultat peu fiable.
• Votre appareil effectue le travail. Un fichier très volumineux sur un téléphone modeste est plus lent qu'une ferme de serveurs. C'est le coût du fait que le fichier reste en place.
• « Local » n'équivaut pas à « sécurisé ». Si votre appareil est compromis, le traitement local ne protège rien. Il élimine un risque spécifique — la divulgation à un tiers — et non tous les risques.
• Même « local » nécessite une vérification. C'est pourquoi les tests ci-dessus sont plus importants que n'importe quel badge sur une page d'accueil.

Une règle de pouce fonctionnelle

Vous n'avez pas besoin d'une politique pour chaque fichier. Une seule question suffit généralement : Serait-il confortable que ce document se trouve sur le serveur d'un inconnu pendant un an ? Pour un flyer — c'est bon, téléchargez-le et continuez votre journée. Pour un contrat, une fiche de paie, une lettre médicale, une liste de clients — utilisez quelque chose qui le garde sur votre appareil, et prenez les quelques secondes supplémentaires pour le confirmer.

Guides et outils connexes