Sécurité PDF expliquée : mots de passe, permissions et chiffrement

La sécurité PDF est un ensemble de contrôles optionnels définis par la spécification PDF qu'un auteur de document peut appliquer à un fichier. Il y a trois mécanismes indépendants, souvent utilisés ensemble :

• Mot de passe d'ouverture — le document est chiffré et ne peut être consulté sans le mot de passe correct.
• Permissions — un ensemble d'indicateurs qui restreignent l'impression, la copie, la modification et d'autres actions, même après l'ouverture du document.
• Chiffrement — l'algorithme et la longueur de clé utilisés pour brouiller le contenu du document afin qu'il soit illisible sans la clé.

Ces mécanismes sont définis dans le Gestionnaire de sécurité standard de la spécification PDF. Un PDF sans aucun de ces contrôles est un document ordinaire non sécurisé — entièrement lisible et modifiable par quiconque peut l'ouvrir.

Un PDF sécurisé peut avoir deux mots de passe distincts, et comprendre la différence compte :

• Mot de passe utilisateur (aussi appelé « mot de passe d'ouverture »). Requis pour ouvrir et consulter le document. Sans lui, le fichier ne peut pas être déchiffré du tout.
• Mot de passe propriétaire (aussi appelé « mot de passe de permissions »). Requis pour modifier les indicateurs de permission — par exemple, pour supprimer la restriction d'impression ou autoriser la copie. Un lecteur qui n'a que le mot de passe utilisateur peut ouvrir le fichier mais est lié par les permissions que le propriétaire a définies.

Un document peut avoir un mot de passe utilisateur, un mot de passe propriétaire, ou les deux. Un schéma courant consiste à définir uniquement un mot de passe propriétaire : le document s'ouvre librement pour tout le monde, mais des actions comme l'impression ou la copie sont restreintes sauf si le lecteur fournit le mot de passe propriétaire. Définir uniquement un mot de passe utilisateur signifie que quiconque peut ouvrir le fichier a aussi toutes les permissions — le mot de passe contrôle l'accès, pas le comportement.

Les permissions sont stockées sous forme d'un entier 32 bits dans le gestionnaire de sécurité. Chaque bit correspond à une action spécifique. Les indicateurs de permission les plus couramment utilisés sont :

• Imprimer — si le document peut être imprimé du tout.
• Imprimer en haute résolution — distinct de l'impression de base ; certains documents autorisent l'impression de basse qualité mais pas la sortie haute fidélité.
• Copier ou extraire le texte et les graphiques — si le contenu peut être copié vers le presse-papiers ou extrait par des outils d'accessibilité.
• Modifier le contenu — si le contenu de la page peut être édité.
• Annoter, remplir des formulaires et signer — si des commentaires, des champs de formulaire ou des signatures numériques peuvent être ajoutés.
• Assembler — si des pages peuvent être insérées, supprimées ou pivotées.
• Extraction pour l'accessibilité — un indicateur distinct qui autorise l'extraction de texte spécifiquement pour les lecteurs d'écran et la technologie d'assistance.

Ces indicateurs sont appliqués par le visionneuse PDF, non par le fichier lui-même. Un lecteur conforme les respecte ; un outil non conforme peut les ignorer entièrement. C'est une limitation critique discutée ci-dessous.

L'algorithme de chiffrement et la longueur de clé déterminent la difficulté de casser le document par force brute. Le standard PDF en a supporté plusieurs au fil de son histoire :

• RC4 (40 bits et 128 bits) — l'algorithme de chiffrement PDF d'origine. Le RC4 40 bits est faible selon les standards modernes et considéré comme déprécié. Le RC4 128 bits est plus robuste, mais RC4 lui-même présente des faiblesses cryptographiques connues et n'est plus recommandé.
• AES-128 — introduit dans PDF 1.6. Un chiffrement par blocs moderne avec une clé de 128 bits. Significativement plus robuste que RC4 et largement supporté par les lecteurs PDF actuels.
• AES-256 — introduit dans PDF 1.7 Extension Level 3 et reconduit dans PDF 2.0 (ISO 32000-2). L'option la plus robuste du standard. Note : certaines implémentations précoces d'AES-256 avaient un défaut où le hachage du mot de passe pouvait être attaqué indépendamment du document, affaiblissant la protection — les rédacteurs modernes utilisent la révision corrigée.

Pour les nouveaux documents, AES-256 est le choix recommandé quand il est disponible. RC4 devrait être évité. Le chiffrement s'applique aux chaînes et flux du document (le contenu réel), non au squelette structurel du fichier — les numéros d'objets et la table de références croisées restent visibles afin que les lecteurs puissent naviguer le fichier sans la clé.

Quand un rédacteur chiffre un PDF, il dérive une clé de chiffrement du mot de passe utilisateur à l'aide d'un schéma de hachage défini par la révision du gestionnaire de sécurité. Cette clé est utilisée pour chiffrer les objets chaîne et flux du document. Les indicateurs de permission et un hachage de vérification sont stockés dans le dictionnaire de chiffrement du document, qui lui-même n'est pas chiffré (afin qu'un lecteur puisse détecter que le fichier est sécurisé et solliciter un mot de passe).

Quand un lecteur ouvre le fichier, il utilise le mot de passe fourni pour redériver la clé, la vérifie par rapport au hachage stocké et — si valide — déchiffre chaque objet à la demande. Les permissions sont vérifiées par le visionneuse avant d'autoriser chaque action restreinte. Comme la structure n'est pas chiffrée, un PDF sécurisé révèle encore la taille du fichier, le nombre de pages et la présence de chiffrement, mais pas le contenu des pages.

La sécurité PDF est utile, mais il est important de comprendre ce qu'elle n'est pas :

• Ce n'est pas du DRM. La sécurité PDF ne lie pas le document à un appareil, un compte utilisateur ou un serveur de licences spécifique. Quiconque a le mot de passe utilisateur peut ouvrir le fichier n'importe où et le transmettre.
• Les permissions sont consultatives, non appliquées. Comme le visionneuse applique les indicateurs de permission, un outil qui choisit de les ignorer peut copier, imprimer ou extraire le contenu sans tenir compte des restrictions. Plusieurs bibliothèques PDF open-source et certains lecteurs font exactement cela. Les permissions dissuadent les utilisateurs occasionnels ; elles n'arrêtent pas un utilisateur déterminé.
• Les mots de passe peuvent être forcés par force brute. Un mot de passe utilisateur faible sur un PDF chiffré en AES peut être récupéré par des attaques hors ligne par dictionnaire ou force brute à des vitesses de millions de suppositions par seconde sur du matériel moderne. La robustesse du chiffrement ne compense pas un mot de passe faible.
• Le chiffrement ancien est cassable. Le RC4 40 bits peut être craqué en quelques secondes. Le RC4 128 bits présente des faiblesses structurelles. Les documents chiffrés avec ces réglages hérités n'offrent que très peu de protection réelle aujourd'hui.

La conclusion pratique : utilisez un mot de passe utilisateur long et fort et le chiffrement AES-256 quand une véritable confidentialité est nécessaire. Traitez les indicateurs de permission comme une commodité, pas comme une frontière de sécurité.

IXPDF est construit sur une architecture local-first, privacy-first : vos fichiers ne quittent jamais votre appareil. Cet engagement s'applique également à une future fonctionnalité de protection ou de déverrouillage — le chiffrement ou le déchiffrement se ferait dans votre navigateur, pas sur un serveur.

Cependant, IXPDF n'offre actuellement pas d'outils deprotection par mot de passe ou de suppression de mot de passe. Les deux sont marquésResearch Required. La raison est technique : notre moteur PDF actuel, pdf-lib, ne supporte pas la lecture ni l'écriture de PDF chiffrés. Ajouter un chiffrement PDF fiable nécessite un moteur différent que nous n'avons pas encore évalué pour la taille du bundle, les performances et la compatibilité navigateur — et nous ne livrerons pas une fonctionnalité qui ne répond pas à notre exigence de qualité. Quand un moteur approprié sera intégré, ces outils deviendront disponibles tout en gardant tout le traitement local.

En attendant, les concepts de cette page s'appliquent encore à tout PDF que vous rencontrez. Pour vérifier ce que les métadonnées d'un fichier révèlent sans le téléverser, voir notreréférence sur les métadonnées et l'outil local d'édition des métadonnées.