les outils pdf en ligne sont-ils sûrs
Ce qui se passe quand vous envoyez un PDF
La plupart des outils PDF en ligne fonctionnent en recevant votre document. Ce n'est pas sinistre — c'est ainsi que l'architecture fonctionne —, mais cela signifie que le fichier existe quelque part que vous ne contrôlez pas, pendant une durée que vous ne fixez pas.
01
Le trajet normal
Vous choisissez un fichier. Le navigateur l'envoie sur le réseau vers un serveur. Le serveur l'écrit sur disque ou dans un stockage objet, exécute la conversion, écrit la sortie et vous remet un lien de téléchargement. À un moment plus tard, une tâche de nettoyage supprime les deux.
Chaque étape relève de l'ingénierie ordinaire, et les services sérieux la mènent avec soin : chiffré en transit, chiffré au repos, supprimé selon un calendrier, avec des contrôles d'accès sur le stockage. Le propos n'est pas qu'il se passe quelque chose de fâcheux. C'est qu'entre l'envoi et la suppression, une copie complète de votre document existe sur du matériel appartenant à quelqu'un d'autre.
02
À quoi cette copie est exposée
La conservation. La fenêtre de suppression est une politique, typiquement de quelques heures, et les politiques sont mises en œuvre par des tâches de nettoyage qui peuvent échouer en silence. « Supprimé au bout d'une heure » décrit une intention.
Les sauvegardes. Les systèmes de stockage sont sauvegardés, et les sauvegardes ont leur propre durée de conservation — souvent bien plus longue que la fenêtre annoncée par le service, et pas toujours couverte par la même logique de suppression programmée.
Les journaux. Noms de fichiers, tailles, adresses IP et horodatages sont couramment journalisés pour le débogage et la lutte contre les abus. Le seul nom de fichier peut être révélateur : « liste-licenciements-T3.pdf » en dit long avant que quiconque l'ouvre.
Les personnes. Qui dispose d'un accès de production atteint en général le stockage de production. C'est normal et nécessaire pour exploiter un service. Cela reste un ensemble d'êtres humains qui pourraient, en principe, lire votre fichier.
La juridiction. Le serveur est dans un pays, soumis aux procédures légales de ce pays. Pour la plupart des documents, c'est sans importance. Pour certains, c'est toute la question.
Rachats et faillites. Les politiques sont des promesses d'entreprise, et les entreprises sont rachetées, changent leurs conditions ou disparaissent. Les données survivent à la promesse.
03
Quand cela compte vraiment
Pour la carte d'un restaurant ou un billet de train, rien de tout cela ne mérite une pensée. Envoyez et passez à autre chose.
Cela commence à compter avec les documents porteurs d'identifiants — pièces d'identité, relevés bancaires, avis d'imposition, bulletins de paie, courriers médicaux. Cela compte pour tout ce qui est couvert par une obligation de confidentialité, ce qui recouvre pour beaucoup l'essentiel de ce qu'ils manipulent au travail. Dossiers clients, contrats non signés, documents de conseil d'administration, dossiers RH et tout ce qui relève du RGPD ne peuvent souvent pas être légalement transmis à un sous-traitant tiers sans contrat en place, quelle que soit la correction de ce sous-traitant.
Il vaut la peine de remarquer que les personnes les plus susceptibles d'envoyer des documents sensibles — celle qui compresse la numérisation d'une carte d'identité pour tenir dans un formulaire, celle qui convertit un courrier médical — sont les moins susceptibles de penser à des contrats de sous-traitance.
04
L'alternative
Le travail n'a pas à se faire sur un serveur. Les navigateurs savent exécuter du code compilé à une vitesse proche du natif grâce à WebAssembly, ce qui signifie que le moteur PDF peut être envoyé vers votre machine au lieu que votre document parte vers la leur. Le fichier est lu dans la mémoire de l'onglet, traité là, et restitué en téléchargement.
Rien n'est transmis, il n'y a donc aucune copie à conserver, journaliser, sauvegarder, réquisitionner ou oublier de supprimer. C'est aussi généralement plus rapide sur les gros fichiers, puisqu'il n'y a pas d'envoi à attendre — un fichier de 40 Mo commence à travailler immédiatement au lieu de grimper d'abord votre connexion. Et une fois la page chargée, elle continue de fonctionner réseau coupé, ce qui est une bonne façon de vérifier l'affirmation : coupez le wi-fi et voyez si l'outil tourne encore.
Les limites honnêtes méritent d'être dites aussi. Le traitement se fait dans la mémoire de votre appareil, donc les très gros fichiers sont bornés par votre matériel et non par celui d'un centre de données. Et certaines conversions ont réellement besoin d'une chaîne d'outils de classe serveur. Là où un site peut faire le travail localement, en revanche, il n'y a aucune bonne raison pour que votre fichier voyage.