Comment expurger un PDF

L'expurgation supprime permanentement du contenu sensible d'un PDF afin qu'il ne puisse être récupéré. Faite mal, c'est l'une des erreurs les plus coûteuses dans la gestion de documents — cabinets d'avocats, agences gouvernementales et entreprises ont tous été brûlés par des « expurgations » qui se sont révélées être un rectangle noir sur du texte encore présent dans le fichier. Ce guide explique ce qu'est l'expurgation véritable, pourquoi l'approche évidente échoue et quels outils le font correctement. Il est aussi honnête sur IXPDF : nous ne pouvons pas faire d'expurgation aujourd'hui, et nous n'expédierons pas un faux outil d'expurgation.

Expurgation véritable vs. couvrir avec un rectangle

Il y a deux choses que les gens appellent « expurgation ». Une seule est réelle :

• Couvrir avec un rectangle noir (PAS une expurgation).Vous dessinez une boîte noire sur le texte dans un éditeur PDF. Le texte est encore dans le fichier — la boîte est juste au-dessus. Quiconque retire la boîte, sélectionne le texte sous elle ou copie le contenu textuel du fichier peut lire ce qui était « expurgé ». Cela a causé des fuites réelles : le DOJ des États-Unis a publié un document avec des « expurgations » qui étaient des rectangles noirs sur du texte encore sélectionnable, et les journalistes ont copié le texte.
• Expurgation véritable. L'outil supprime le texte (ou l'image) des flux de contenu du PDF entièrement. Les caractères ont disparu du fichier. Il n'y a rien à sélectionner, copier ou récupérer. C'est le seul type d'expurgation sûr pour du contenu sensible.

Ce que l'expurgation véritable fait au fichier

Quand un outil d'expurgation véritable applique l'expurgation, il :

1. Supprime les caractères de texte du flux de contenu de la page.
2. Supprime les données d'image si une région d'image est expurgée.
3. Remplit la région expurgée d'une couleur solide (généralement noir) pour que la zone soit visiblement marquée.
4. Optionnellement supprime les métadonnées et couches cachées qui pourraient fuiter le contenu expurgé.
5. Réécrit le PDF pour que le contenu supprimé ne soit pas récupérable depuis la structure du fichier.

Après expurgation véritable, le fichier est plus petit (le contenu a disparu) et la région expurgée est genuinement vide — non simplement couverte.

Le danger de l'expurgation incomplète

L'expurgation incomplète est pire que pas d'expurgation parce qu'elle crée un faux sentiment de sécurité. Modes de défaillance courants :

• Texte sous une boîte noire. La défaillance classique. La boîte est une annotation ; le texte est encore dans le flux de contenu.
• Texte expurgé dans les métadonnées. Vous expurgez le corps mais les métadonnées auteur, titre ou mots-clés contiennent encore le nom sensible. Les outils d'expurgation véritable offrent d'assainir aussi les métadonnées.
• Texte expurgé dans des couches cachées. Certains PDF ont des groupes de contenu optionnel (couches) que les visualiseurs peuvent basculer. Expurger la couche visible n'expurge pas la cachée.
• Texte expurgé dans les polices intégrées. Les glyphes de caractères peuvent rester dans le sous-ensemble de police intégré même après suppression du texte du flux de contenu. Un attaquant habile peut parfois récupérer du texte des sous-ensembles de police.
• Image expurgée non supprimée. Dessiner une boîte noire sur une image laisse l'image dans le fichier. Un outil d'expurgation véritable supprime les données d'image.

Outils qui font une expurgation véritable

1. Adobe Acrobat Pro (payant, l'outil de référence)

Acrobat Pro a un outil Expurger dédié (Outils > Expurger). Sélectionnez du texte ou des images à expurger, ou utilisez Rechercher du texte pour expurger toutes les occurrences d'un mot ou d'une phrase. Cliquez sur Appliquer et Acrobat supprime le contenu du fichier. Il offre aussi d'assainir les métadonnées, couches cachées et données intégrées. C'est l'outil à utiliser pour les documents juridiques, gouvernementaux ou médicaux. Acrobat Standard et le gratuit Adobe Reader ne peuvent pas expurger — seul Pro le peut.

2. Preview (macOS, gratuit, PAS expurgation véritable)

Marquage > Formes > Rectangle de Preview avec remplissage noir n'est pas une expurgation. Il dessine une annotation noire sur le texte ; le texte est encore dans le fichier. Nous mentionnons Preview ici seulement pour mettre en garde contre son utilisation pour l'expurgation. Si vous n'avez qu'un Mac et pas Acrobat Pro, utilisez les outils en ligne de commande ci-dessous ou acceptez que vous ne pouvez pas expurger sûrement avec Preview.

3. Outils en ligne de commande (gratuits, pour utilisateurs avancés)

Il n'y a pas de commande unique « expurger » dans qpdf ou ghostscript, mais vous pouvez combiner des outils : utilisez pdftotextpour trouver le texte, puis un script Python avec pypdf etreportlab pour supprimer le flux de contenu et superposer un rectangle noir. C'est propice aux erreurs et nous ne le recommandons pas pour l'expurgation à enjeu élevé. Pour tout ce qui est sensible, utilisez Acrobat Pro.

Étape par étape : expurger un PDF avec Adobe Acrobat Pro

1. Ouvrez le PDF dans Adobe Acrobat Pro.
2. Allez à Outils > Expurger.
3. Marquez les expurgations : glissez pour sélectionner du texte ou des images, ou cliquez sur Rechercher du texte pour expurger toutes les occurrences d'un mot ou d'une phrase.
4. Relisez les régions marquées dans le document.
5. Cliquez sur Appliquer dans la barre d'outils secondaire.
6. Acrobat demande si vous voulez Assainir et supprimer les informations cachées. Cliquez sur OK — cela supprime les métadonnées, couches cachées et autres fuites potentielles.
7. Enregistrez le PDF expurgé avec Fichier > Enregistrer.
8. Vérifiez : rouvrez le fichier, essayez de sélectionner la zone expurgée et exécutez Rechercher du textesur un terme qui a été expurgé. Il ne devrait rien trouver.

Quoi expurger (et quoi seulement masquer)

Tout ne nécessite pas une expurgation véritable. Utilisez ce guide :

• Expurger (supprimer du fichier) : noms, adresses, numéros de téléphone, adresses courriel, numéros de Sécurité Sociale, numéros de compte bancaire, numéros de dossier médical, dates de naissance, signatures et tout contenu sous une ordonnance de protection ou un scellement de grand jury.
• Masquer (couvrir avec un rectangle, mais seulement si le fichier ne sera pas partagé) : annotations de brouillon, notes internes qui seront supprimées avant le partage. Mais si le fichier quitte votre contrôle, expurgez.
• Éliminer les métadonnées : auteur, titre, sujet, mots-clés, date de création, date de modification, producteur, créateur. Utilisez l'outil Éditer les métadonnées d'IXPDF pour les nettoyer avant le partage.

Erreurs courantes

• Dessiner un rectangle noir et l'appeler expurgation.Le texte est encore dans le fichier. C'est l'erreur la plus courante et la plus dangereuse.
• Expurger le corps mais pas les métadonnées. Le nom sensible peut encore être dans le champ Auteur ou Titre du document. Assainissez aussi les métadonnées.
• Ne pas vérifier. Après expurgation, rouvrez le fichier et essayez de sélectionner ou chercher le texte expurgé. Si vous pouvez le trouver, l'expurgation a échoué.
• Utiliser une capture d'écran ou image du document expurgé.Si vous faites une capture d'un PDF « expurgé » et partagez la capture, vous êtes en sécurité — mais seulement si la capture ne capture pas le texte sous les boîtes. C'est un expedient, non un flux réel.
• Faire confiance à un outil « expurgation en ligne gratuit » avec du contenu sensible. Le fichier est téléversé vers un serveur avant expurgation. Pour du contenu juridique ou médical, utilisez un outil local.
• Expurger seulement la page visible. Certains PDF ont des couches cachées ou pièces jointes. Un outil d'expurgation véritable assainit tout ; un rectangle noir non.