Les PDF protégés par mot de passe et leurs limites
Mon PDF est protégé et l'outil dit qu'il ne peut pas le modifier. Pourquoi, et que puis-je faire ?
Il existe deux mots de passe différents
Le chiffrement PDF, défini par la norme ISO 32000, distingue un mot de passe utilisateur d'un mot de passe propriétaire. Le mot de passe utilisateur — souvent appelé mot de passe d'ouverture — est indispensable pour déchiffrer le document, tout simplement. Sans lui, les flux de contenu sont du texte chiffré et aucun logiciel ne peut lire la moindre page. Le mot de passe propriétaire est différent : le document s'ouvre sans lui, mais le dictionnaire de chiffrement porte des indicateurs d'autorisation qui disent ce qu'un lecteur conforme devrait refuser, comme imprimer, copier le texte ou modifier le fichier.
Cette distinction explique l'essentiel de la confusion. Un document qui s'ouvre instantanément mais refuse de vous laisser copier un paragraphe n'est pas « déverrouillé » : il est chiffré avec un mot de passe utilisateur vide et un jeu de restrictions.
Ce que le chiffrement protège réellement
| Mot de passe | Nécessaire pour ouvrir ? | Ce qu'il protège | Quelle est sa solidité |
|---|---|---|---|
| Mot de passe utilisateur (ouverture) | Oui | Le contenu lui-même ; les flux et les chaînes sont chiffrés | Aussi solide que l'algorithme et le mot de passe choisis |
| Mot de passe propriétaire (autorisations) | Non | Rien sur le plan cryptographique ; il pose des indicateurs qu'un lecteur est prié de respecter | Purement indicatif |
Les indicateurs d'autorisation sont une demande adressée aux logiciels bien élevés, pas un mécanisme d'application. Les octets sont déchiffrés dès l'ouverture du document, donc tout programme qui choisit d'ignorer ces indicateurs peut le faire. Voyez-les comme une déclaration d'intention : utile pour signaler l'usage attendu d'un document, inutile comme mesure de sécurité.
Pourquoi un éditeur refuse le fichier
Pour restructurer un PDF — le fusionner, le découper, faire pivoter ses pages, supprimer les objets inutilisés —, une bibliothèque doit analyser le graphe d'objets. Dans un document chiffré, les chaînes et les flux qui composent ce graphe sont du texte chiffré tant que la bonne clé n'a pas été dérivée. Il n'y a rien à analyser. Ce n'est pas une décision de principe de l'outil : il n'y a véritablement pas encore de document.
Les outils PDF structurels de FileSlimmer sont donc désactivés pour un document chiffré, et le disent, plutôt que d'échouer à mi-parcours en produisant un fichier corrompu. C'est le bon comportement, même si c'est le moins pratique.
Ce qu'il advient d'un mot de passe que vous saisissez
Là où un traitement assisté par mot de passe est proposé, le mot de passe sert à dériver la clé de déchiffrement en mémoire, dans cet onglet de navigateur, le temps que dure la tâche. Il n'est pas écrit dans le stockage local, pas écrit dans le cache du Service Worker, pas placé dans une URL et pas transmis — il n'y a dans cette application aucun serveur à qui le transmettre. À la fermeture de l'onglet, il a disparu.
Il reste néanmoins prudent de réfléchir à l'endroit où l'on saisit un mot de passe, quel qu'il soit. Une extension de navigateur peut lire le contenu d'une page, et c'est vrai de tous les sites web, y compris celui-ci. Si un document est sensible au point que cela compte, déverrouillez-le plutôt dans un logiciel de bureau hors ligne auquel vous faites confiance.
Ce que cet outil ne fera pas
- Il ne tentera pas de retrouver ni de casser par force brute un mot de passe que vous n'avez pas.
- Il ne supprimera pas un mot de passe propriétaire pour contourner les indicateurs d'autorisation d'un document sur lequel vous n'avez aucun droit.
- Il ne produira pas en silence une copie déchiffrée d'un document que vous avez ouvert avec un mot de passe ; retirer la protection est une action distincte et explicite.
- Il ne fera pas passer un indicateur d'autorisation pour une barrière de sécurité.
Retirer la protection d'un document que vous n'avez pas le droit de modifier peut aussi enfreindre un contrat ou une loi là où vous vivez. C'est une question qui vous regarde et qui, si elle compte, regarde un juriste — pas un outil de compression.
Des solutions réalistes quand vous êtes bloqué
- Demandez une copie non protégée à qui a produit le document. C'est de loin la solution la plus fréquente, et elle tient en un message.
- Si vous avez le mot de passe d'ouverture, servez-vous-en : une fois le document déchiffré, toutes les opérations ordinaires redeviennent possibles.
- Si vous avez seulement besoin de regarder les pages, imprimez en PDF ou exportez une copie rastérisée. Vous perdez la couche de texte, les liens et la structure d'accessibilité, et vous gardez l'apparence.
- Si le document est signé en plus d'être chiffré, arrêtez-vous et réfléchissez. Toute modification invalide la signature, et un document signé existe généralement précisément parce que quelqu'un devra le vérifier plus tard.
Une dernière limite
Les anciennes révisions du chiffrement PDF utilisaient une dérivation de clé faible et des clés courtes ; elles sont considérées comme cassées. Les révisions récentes utilisent AES avec une fonction de dérivation correcte. Impossible de savoir laquelle un document emploie en le regardant, et un outil qui ouvre rapidement un vieux fichier ne prouve pas qu'un fichier récent se comportera de la même façon. Si vous choisissez une protection pour un document que vous produisez, prenez un logiciel à jour et un long mot de passe plutôt que de vous fier à l'histoire du format.
Outils pour cette tâche
Sources
- ISO 32000-2 — Document management, Portable Document Format
- Adobe — PDF 32000-1:2008, clause 7.6 on encryption and permissions
- NIST FIPS 197 — the Advanced Encryption Standard