Caviarder un PDF sans le téléverser

Ce que « téléverser » coûte ici

Les fichiers que l'on caviarde sont ceux que l'on ne peut pas montrer : un dossier médical, un bulletin de paie, un bail, une déclaration de témoin, une note interne. Téléverser l'un d'eux pour le caviarder, c'est confier la version non caviardée — la seule qui contienne encore tout — à un tiers, afin qu'il vous rende une version qui en contient moins.

Ce tiers peut être parfaitement honnête. L'exposition n'est pas une question d'honnêteté :

• Le fichier existe sur ses disques, aussi longtemps que sa politique de conservation le prévoit, et dans ses sauvegardes ensuite.
• Il existe dans des journaux, et sur tout cache ou proxy situé entre vous et lui, sous des formes que personne n'inventorie.
• Il est accessible à son personnel, à ses sous-traitants, et à quiconque compromet l'un d'eux.
• Il relève de la juridiction où il atterrit, qui n'est pas forcément la vôtre — ce qui compte pour le secret professionnel comme pour les règles de transfert hors frontières.

Une politique de confidentialité est une promesse sur le premier point. Ce n'est pas un contrôle sur les autres, et rien de tout cela ne se vérifie de l'extérieur.

Pour un avocat, un médecin, un notaire ou un travailleur social, la question n'est d'ailleurs pas seulement le risque : le secret professionnel s'apprécie au moment où le document est communiqué, et téléverser est une communication.

Le navigateur sait faire le travail

Rien dans le caviardage n'exige un serveur. Lire la structure d'un PDF, dessiner ses pages, peindre par-dessus une région et réécrire le fichier sont des calculs ordinaires, et ils tournent dans un onglet aussi bien qu'ailleurs. Ce qu'un serveur ajoute à cette tâche-là, c'est une copie de votre document sur la machine de quelqu'un d'autre.

Caviardeur fonctionne ainsi : le fichier est lu depuis le disque par la page elle-même, traité dans un fil d'exécution en arrière-plan, et réécrit dans votre dossier de téléchargements. Il n'y a ni compte, ni file d'attente, ni stockage, parce qu'il n'y a nulle part où un fichier puisse aller.

Comment savoir si un outil est vraiment local

Les promesses ne coûtent rien. Deux vérifications, en une minute :

1. Coupez le réseau. Chargez la page, passez en mode avion ou débranchez le câble, puis faites tout le travail. Un outil qui téléverse ne peut pas fonctionner hors ligne. Un outil qui ne téléverse pas ne s'en apercevra pas.
2. Regardez le réseau. Ouvrez les outils de développement (F12), onglet Réseau, et faites le travail avec l'onglet ouvert. Vous cherchez une requête qui transporte votre fichier — typiquement un POST dont la taille correspond à celle du document.

Ces deux vérifications font partie de la suite de tests de cet outil, et l'une d'elles est plus stricte que la phrase qu'elle protège : pendant le traitement, des requêtes vers notre propre origine peuvent encore avoir lieu, pour les polices standard et les tables de caractères de pdf.js. Ce sont des noms de fichiers fixes, ils ne transportent rien de votre document — et le dire franchement vaut mieux qu'une promesse qui n'est pas tout à fait vraie.

Ce dont un outil local ne vous dispense pas

Le traitement local protège le fichier en transit et au repos ailleurs. Il ne rend pas un caviardage correct pour autant. Une zone posée au mauvais endroit, une page numérisée où la détection automatique ne trouve rien tant que le texte n'a pas été reconnu, un nom qui apparaît aussi dans une page que vous n'avez jamais ouverte : ce sont les mêmes problèmes sur n'importe quel outil, et ce sont eux qui méritent votre attention une fois la question du téléversement réglée.

À lire ensuite : pourquoi un rectangle noir ne cache rien, et ce que la Loi 25 et le RGPD attendent.