CaviarPourquoi un rectangle noir ne suffit pas
Un PDF n'est pas une feuille de papier. Ce que l'écran montre est une couche parmi d'autres, et le rectangle noir que vous dessinez en est une de plus. Voici les trois façons dont un caviardage fuit, les affaires où ça s'est vu, et ce qu'il faut pour détruire vraiment un texte.
1. Le texte est recouvert, pas retiré
C'est le cas le plus fréquent et le plus simple à exploiter. Dans la plupart des éditeurs PDF, et dans tous les traitements de texte qui exportent en PDF, un rectangle noir est une forme posée au-dessus d'un texte qui reste entier dans le fichier. Il suffit de sélectionner la zone, de copier et de coller dans un éditeur de texte pour le lire ; une recherche (⌘F) le trouve aussi. Le surlignage noir d'un traitement de texte, l'outil Formes d'Aperçu, l'annotation d'un éditeur en ligne : tous fonctionnent ainsi.
2. Le flou et la pixelisation se défont
Flouter ou pixeliser semble plus discret qu'un rectangle. C'est surtout moins sûr. La pixelisation remplace chaque bloc par sa couleur moyenne, et cette moyenne dépend des lettres qui étaient là. En 2020, l'outil Depix a montré qu'on pouvait remonter de la mosaïque au texte ; en 2022, Unredacter (Bishop Fox) a résolu un défi public en rendant des lettres candidates dans la même police et en comparant les blocs obtenus à l'image. Le conseil de son auteur tient en une phrase : seulement des barres noires pleines, jamais de flou.
3. Le texte est retiré, mais pas sa place
Le cas le plus subtil touche les outils qui font ce qu'il faut en apparence. Quand un outil retire les caractères sous le rectangle mais laisse le reste de la ligne intact, le fichier garde la position exacte, au millième de point, de chaque caractère voisin. Or un moteur de mise en page ajuste ces positions en fonction du mot qui précède. Une étude publiée en 2023 dans PoPETs (Bland, Iyer et Levchenko) a exploité ces décalages pour retrouver des noms et prénoms caviardés, a trouvé la faille dans les onze outils examinés, Adobe Acrobat compris, et a levé le caviardage de centaines de documents réels, dont des rapports d'inspection et des réponses à des demandes d'accès.
Et ce qu'on ne voit pas
Un PDF transporte aussi ce qui n'est pas affiché : les métadonnées (auteur, titre, mots-clés, logiciel), les pièces jointes, les signets, les annotations, la couche de texte reconnu derrière un scan, et parfois les versions antérieures du document, enregistrées à la suite dans le même fichier. Un caviardage soigné de la page laisse tout cela intact.
| Année | Qui | Ce qui s'est passé |
|---|---|---|
| 2008 | Tribunaux fédéraux américains (PACER) | Un audit trouve 1 600 dossiers où des numéros de sécurité sociale sont lisibles ; une étude de 2011 estimera les cas à des milliers, voire des dizaines de milliers. |
| 2011 | Apple contre Samsung | Les passages caviardés de la décision d'un juge fédéral se lisent par copier-coller ; le tribunal retire l'opinion et en publie une nouvelle version dans les heures qui suivent. |
| 2014 | New York Times | Une présentation de la CIA est publiée avec des caviardages que surligner, copier et coller suffit à lever. |
| 2016 | Tribunal fédéral de Washington | Le nom d'une partie, censé être caviardé dans une ordonnance, est visible sous les rectangles ; le juge ordonne une enquête et une nouvelle version est publiée. |
| 2019 | Avocats de Paul Manafort | Des rectangles noirs posés sur du texte vivant : le copier-coller révèle une réunion à Madrid et le partage de données de sondage. Les conclusions sont retirées puis redéposées. |
Ces cinq affaires sont relevées dans « Embarrassing Redaction Failures », juge Herbert B. Dixon Jr., Judges' Journal de l'American Bar Association, 2019.
Le point commun : des professionnels, des outils coûteux, et personne qui ait testé le fichier avant de l'envoyer. Les mêmes causes produisent les mêmes effets dans un cabinet comptable, un service RH ou une agence immobilière, avec moins de journalistes pour le remarquer.
- Le texte sous la zone n'existe plus dans le fichier, pas seulement à l'écran.
- Les positions des caractères ne sont plus stockées, pour que la place laissée ne dise rien de plus que sa largeur.
- Les données cachées sont retirées : métadonnées, pièces jointes, signets, scripts, couches de texte, versions antérieures.
- Le résultat est vérifié après coup, sur le fichier produit, pas supposé d'après ce que l'outil affiche.
- Le document ne quitte pas la machine pendant l'opération : un service en ligne qui « protège » vos données commence par les recevoir.
Caviar ne retouche pas le PDF d'origine. À l'export, il redessine chaque page, qu'elle porte une zone ou non, en image à 300 dpi dans un document neuf, et peint les zones en noir dans l'image. Il n'y a donc plus de texte dans le fichier livré, ni sous les zones ni ailleurs, plus de positions de caractères, plus de police, plus de contenu hors cadre. Les métadonnées, données XMP, pièces jointes, scripts, annotations et versions antérieures ne sont pas copiés.
Avant d'écrire le fichier, Caviar rouvre le résultat et contrôle, pixel par pixel, que chaque zone est noire. Si une zone ne l'est pas, l'export est refusé et aucun fichier n'est écrit. C'est la seule « option » qu'on ne peut pas désactiver.
La détection (noms, adresses, IBAN, numéros d'identité d'une trentaine de pays, visages, signatures, codes-barres) utilise les briques d'Apple et tourne sur le Mac. L'app n'a pas de droit d'accès réseau : le document ne peut pas sortir.
Le prix à payer est connu : le PDF obtenu n'est plus sélectionnable ni cherchable, et il est plus lourd. Pour un document qu'on caviarde, c'est exactement ce qu'on veut. Et aucun outil ne protège contre le contexte : un seul mot noirci au milieu d'une phrase se devine parfois, et c'est à la relecture de le voir.
Le guide Caviarder un PDF sur Mac compare pas à pas Aperçu, Acrobat et Caviar, et donne la liste des vérifications à faire sur n'importe quel fichier.
- Herbert B. Dixon Jr., « Embarrassing Redaction Failures », Judges' Journal, American Bar Association, 2019.
- Maxwell Bland, Anushya Iyer, Kirill Levchenko, « Story Beyond the Eye: Glyph Positions Break PDF Text Redaction », Proceedings on Privacy Enhancing Technologies, 2023.
- Dan Petro (Bishop Fox), Unredacter, 2022 ; compte rendu dans ITPro.
- Howard Oakley, « How effective and safe is Preview's redaction tool? », The Eclectic Light Company, 2020.
- Glenn Fleishman, « How to redact text in a PDF with the Preview app, Adobe Acrobat and PDFpen », Macworld, 2024.
Caviar est gratuit pendant le lancement. Voir la présentation.