Supprimer les métadonnées PDF

Chaque PDF transporte un jeu de propriétés qui décrivent le document plutôt que son contenu, et elles sont remplies automatiquement par ce qui a produit le fichier. Le champ auteur reprend le nom du compte qui l'a créé. Les champs application et générateur consignent le logiciel exact et sa version. Les horodatages enregistrent la date de création et celle de la dernière modification, parfois à la seconde près.

Rien de tout cela n'est visible sur la page, et presque personne ne le vérifie avant de partager. C'est pourtant trivialement lisible : un clic droit dans n'importe quel lecteur de PDF, ou un moteur de recherche qui indexe le fichier. Des documents ont ainsi révélé le vrai nom derrière une contribution anonyme, l'identité d'un lanceur d'alerte, et le fait qu'une proposition sur mesure avait été produite à partir d'un modèle où figurait encore le nom d'un autre client dans le champ auteur.

Le cas du modèle est le plus fréquent et le plus discrètement gênant. Une réponse à un appel d'offres, un contrat ou un rapport généré à partir du fichier d'un collègue hérite de son nom : votre document annonce donc au destinataire qui l'a réellement écrit.

Un PDF stocke ses métadonnées deux fois, pour des raisons historiques. Le dictionnaire d'informations du document est le mécanisme d'origine : une simple liste de titre, auteur, objet, mots-clés, application, générateur et dates. Le paquet XMP est l'approche plus récente, un bloc XML incorporé qui reprend généralement ces valeurs et peut en porter bien davantage, y compris des mentions de droits et un historique propre à tel ou tel logiciel.

Comme les deux existent, un outil qui n'efface que l'un laisse l'autre intact — et les lecteurs diffèrent quant à celui qu'ils affichent. Un document peut donc paraître propre dans une application et montrer le nom de l'auteur dans une autre, ce qui est précisément le scénario que vous cherchiez à éviter.

Traiter les deux ensemble est le seul moyen d'en être sûr. C'est aussi pourquoi vérifier le résultat dans un lecteur différent de celui qui a servi au nettoyage est une habitude raisonnable pour tout ce qui est sensible.

Tout retirer est le bon choix quand l'anonymat compte : une contribution anonyme, un document issu d'un modèle, un signalement de lanceur d'alerte, tout ce où le lien entre le fichier et une personne ne devrait pas exister.

Pour un document publié, des valeurs réfléchies valent généralement mieux que des champs vides. Un titre renseigné est ce qu'affichent les moteurs de recherche et ce qu'indexent les systèmes de gestion documentaire : un titre vide rend donc votre rapport plus difficile à trouver et moins professionnel dans une liste de téléchargements. Mettre votre organisation comme auteur plutôt qu'une personne vous donne l'attribution sans exposer quelqu'un.

Une voie médiane couvre la plupart des cas : gardez le titre et l'objet, mettez l'organisation comme auteur, et effacez l'application et le générateur, qui révèlent votre parc logiciel et rien d'utile à qui que ce soit d'autre.

Les métadonnées ne sont qu'une des façons dont un document en dit plus que ses pages. Un texte caché sous un rectangle noir est toujours dans le fichier et se récupère par simple copie — Noircir un PDF le détruit pour de bon, et aucun nettoyage de métadonnées n'y touche.

Les images importées depuis un téléphone transportent leurs propres données EXIF à l'intérieur du flux d'image, y compris les coordonnées du lieu où la photographie a été prise. Un PDF construit à partir de photographies peut donc porter des données de localisation qu'un nettoyage au niveau du document n'atteint pas ; retirez-les des images avant de construire le PDF.

Et le nom du fichier voyage avec lui sans appartenir à rien de tout cela. Pour tout ce qui est publié, relire le nom vaut autant que relire les propriétés.