Protéger PDF

Le chiffrement PDF définit deux mots de passe distincts, et les confondre explique l'essentiel des déceptions que les gens éprouvent avec les documents protégés. Le mot de passe utilisateur — souvent appelé mot de passe d'ouverture — est celui qui garde réellement le document secret. Sans lui, le fichier ne peut pas être déchiffré du tout, et ce qu'un lecteur voit est une invite, pas une page.

Le mot de passe propriétaire, lui, gouverne les autorisations. C'est celui qu'un lecteur vérifie avant de décider s'il laisse quelqu'un imprimer, copier du texte, extraire des pages ou remplir un formulaire, et le fournir accorde un accès sans restriction, quoi que disent les limitations.

Vous pouvez définir l'un, l'autre, ou les deux. Les deux est la réponse habituelle pour un document réellement confidentiel : le mot de passe d'ouverture décide qui le lit, le mot de passe propriétaire décide ce que ces lecteurs peuvent ensuite en faire. Ne définir qu'un mot de passe propriétaire produit un fichier que tout le monde peut ouvrir mais que personne ne peut, dans un lecteur bien élevé, imprimer ni copier.

Un mot de passe d'ouverture, c'est de la vraie sécurité. Le document est chiffré en AES-256, l'algorithme employé pour protéger des documents classifiés et des virements bancaires, et aucune puissance de calcul disponible aujourd'hui ne le cassera. La seule attaque réaliste consiste à deviner le mot de passe : la force de votre mot de passe est donc, à elle seule, la force de votre protection.

Les autorisations relèvent d'une tout autre catégorie, et il vaut mieux le dire franchement. Un PDF limité aux seules autorisations est chiffré avec un mot de passe vide : n'importe quel logiciel peut donc le déchiffrer, et les restrictions sont respectées parce que les lecteurs choisissent de les respecter, non parce qu'elles sont imposées. Acrobat, Aperçu, Chrome et tous les autres lecteurs grand public les honorent. Des logiciels écrits spécifiquement pour les ignorer existent et ne sont pas difficiles à trouver.

Cela ne rend pas les autorisations inutiles pour autant. Elles empêchent un collègue de modifier distraitement la copie de référence, indiquent clairement qu'un document n'est pas destiné à être rediffusé, et préviennent l'extraction accidentelle qui cause la majorité des fuites réelles. Ne comptez simplement pas dessus face à quelqu'un qui veut activement le contenu — pour cela, utilisez un mot de passe d'ouverture, et demandez-vous si les passages sensibles n'auraient pas dû être retirés avec Noircir un PDF.

Puisque deviner est la seule attaque viable, le choix du mot de passe n'a rien d'une formalité. Les mots de passe courts, les mots du dictionnaire, les prénoms et les dates tombent vite face à une attaque automatisée, et ajouter un chiffre et un point d'exclamation à un mot courant ne la ralentit quasiment pas : les outils de recherche connaissent cette astuce depuis vingt ans.

C'est la longueur qui aide réellement. Quatre mots sans rapport mis bout à bout sont bien plus solides que huit caractères de ponctuation emmêlée, et incomparablement plus faciles à saisir correctement dans une invite, sur le téléphone de quelqu'un d'autre. Mieux encore : générez un mot de passe aléatoire dans un gestionnaire de mots de passe et partagez-le par ce gestionnaire.

La façon dont vous le transmettez compte autant que ce qu'il vaut. Un mot de passe envoyé dans le même e-mail que la pièce jointe ne protège de rien, puisque quiconque lit l'e-mail dispose des deux. Envoyez le document par un canal et le mot de passe par un autre — un message, un appel, un coffre-fort partagé — pour qu'intercepter un seul canal ne suffise pas.

Le chiffrement contrôle l'accès à un document entier. Il ne peut pas cacher un paragraphe à un lecteur autorisé à ouvrir le fichier, et il ne fait rien contre un contenu que le document n'aurait jamais dû comporter. Si un contrat contient un numéro de compte bancaire que le destinataire ne doit pas voir, protéger le fichier n'aide en rien — Noircir un PDF retire le contenu définitivement, et c'est la seule chose qui le fasse.

Il ne survit pas non plus à une conversion. Quiconque peut ouvrir le document peut le convertir, le capturer en image ou le retaper : le chiffrement est donc un contrôle sur la diffusion et non sur la copie. Lorsque l'enjeu est la provenance plutôt que la confidentialité — prouver qu'un document est le vôtre et qu'il n'a pas été altéré — Signer PDF est l'outil approprié, et les deux se combinent sur un même fichier.

Une note d'ordre pratique : appliquez le chiffrement en dernier. La plupart des outils ne savent pas lire un PDF chiffré ; si vous devez encore fusionner, compresser, ajouter des numéros de page ou apposer un filigrane, faites tout cela d'abord et protégez le document terminé.