Pourquoi un rectangle noir sur un PDF ne cache rien

Une page de PDF est deux choses à la fois

Une page de PDF contient une liste d'instructions de dessin : placer cette police à cette taille, tracer ces caractères à ces coordonnées, remplir ce rectangle de cette couleur. Les instructions sont exécutées dans l'ordre, et la dernière l'emporte à l'écran.

Un rectangle noir n'est rien d'autre que cela : une instruction de plus, ajoutée après le texte. Elle change les pixels que vous voyez. Elle ne change rien aux instructions qui la précèdent, et celles-ci épellent toujours chaque caractère qui se trouve dessous. Sélectionner la zone et la copier rend le texte ; n'importe quel outil qui lit la couche texte d'un PDF le rend aussi — ce qui inclut les moteurs de recherche, les plateformes de communication de la preuve, et les utilitaires en ligne de commande livrés avec la plupart des systèmes.

Ce n'est pas une défaillance exotique. Elle a mis des noms non caviardés dans des actes de procédure, des montants de règlement dans des dossiers publics et des renseignements personnels dans des documents gouvernementaux publiés — à chaque fois depuis un fichier qui paraissait correctement caviardé à tous ceux qui l'avaient manipulé.

Noircir, biffer, masquer : trois mots, un seul geste

Le vocabulaire n'aide pas. « Noircir un PDF », « biffer un passage », « masquer des données », « censurer un document » : les outils qui proposent ces fonctions dessinent, tous, un rectangle. Ils ne prétendent d'ailleurs pas faire autre chose — ce sont des outils d'annotation, et ils annotent.

Sont dans ce cas le surligneur et les formes d'un lecteur PDF, le rectangle plein d'un éditeur d'images, la zone noire ajoutée dans un traitement de texte avant l'export en PDF. Imprimer en PDF ne corrige rien non plus, sauf si le chemin d'impression transforme la page en image : beaucoup conservent la couche texte, précisément parce qu'un document dont le texte reste cherchable est considéré comme un avantage.

Le seul mot qui désigne l'opération complète est caviarder : retirer. Et il ne suffit pas qu'un logiciel emploie le mot pour qu'il fasse la chose — c'est ce que la vérification ci-dessous permet de trancher en deux minutes.

Comment vérifier un fichier que vous avez déjà envoyé

Deux minutes, sans aucun outil :

1. Ouvrez le PDF dans n'importe quel lecteur.
2. Sélectionnez toute la page — Ctrl+A ou ⌘+A — et copiez.
3. Collez dans un éditeur de texte brut.
4. Cherchez, dans ce texte, ce que vous pensiez avoir retiré.

Si c'est là, c'est là pour tout le monde. L'inverse ne vaut pas quitus : du texte peut aussi survivre à des endroits qu'un copier-coller n'atteint pas — les métadonnées du document, les pièces jointes, ou la valeur enregistrée d'un champ de formulaire non aplati.

Ce qui retire vraiment le texte

Une seule chose : les caractères doivent cesser d'être dans le fichier. En pratique, cela veut dire soit modifier les instructions de la page pour les supprimer, soit convertir la page en image et peindre par-dessus l'image — après quoi la page n'a plus de couche texte d'où récupérer quoi que ce soit.

La seconde approche est plus brutale et plus sûre, et c'est celle de Caviardeur : une page portant un caviardage est convertie en image, les zones sont peintes sur cette image, et l'image remplace la page. Les pages auxquelles vous n'avez pas touché gardent leur texte. Avant que le fichier vous soit remis, il est relu et fouillé pour chaque chaîne censée avoir disparu ; s'il en reste quoi que ce soit d'extractible, l'export est refusé plutôt que livré.

Ce qui relève encore de votre jugement

Un document numérisé n'a pas de couche texte où détecter quoi que ce soit. La reconnaissance optique en fabrique une, dans le navigateur, et elle se trompe : une valeur mal reconnue n'est jamais proposée, et les passages à retirer se tracent alors à la main. Un texte incrusté dans une photographie ou une signature est invisible à tout outil qui travaille sur du texte, le nôtre compris. Et un rectangle tracé au mauvais endroit reste un rectangle tracé au mauvais endroit : aucune vérification automatique ne peut dire que la zone que vous avez posée couvre bien le nom que vous visiez.

En une phrase

Un rectangle noir est une image de caviardage. Si le texte peut encore être sélectionné, il n'a jamais été retiré — et le seul moyen de le savoir est de regarder, sur le fichier que vous êtes sur le point d'envoyer.

La suite logique : caviarder sans téléverser le document, et ce que la Loi 25 et le RGPD attendent d'un document dont les données restent extractibles.