Ajouter ou retirer le mot de passe d'un PDF

La sécurité des PDF, ce sont deux choses différentes portant le même nom, et les confondre explique la surprise des gens devant ce que les outils peuvent ou ne peuvent pas faire. La première est le mot de passe utilisateur, exigé pour ouvrir le document : sans lui, le contenu du fichier n'est qu'une suite d'octets chiffrés que rien ne peut lire. La seconde est le mot de passe propriétaire, dit aussi de permissions, qui laisse le document lisible par tout le monde mais le marque comme non imprimable, non copiable ou non modifiable. La première relève de la vraie cryptographie. La seconde est une demande que les lecteurs sont censés respecter. Savoir laquelle protège votre fichier vous dit immédiatement ce qui est possible.

Poser un mot de passe qui protège vraiment

Quand vous définissez un mot de passe utilisateur, les flux du document — texte, images, polices intégrées — sont chiffrés avec une clé dérivée de ce mot de passe. Les PDF modernes utilisent AES avec une clé de 256 bits, et la conséquence pratique est qu'un mot de passe perdu est un document perdu. Pas de récupération, pas de lien de réinitialisation, pas de support à appeler ; le seul retour possible est la devinette, et face à une phrase secrète correcte ce n'en est pas un. Traitez le chiffrement d'un PDF comme celui d'un disque : choisissez quelque chose que vous pouvez reproduire, conservez-le dans un endroit durable et transmettez-le au destinataire par un canal différent du fichier. Envoyer la pièce jointe chiffrée et le mot de passe dans le même fil de courriel ne protège de rien, sinon d'une erreur de bonne foi.

À quoi sert le mot de passe propriétaire

Un mot de passe propriétaire ne chiffre rien de significatif. Le document s'ouvre pour tout le monde ; les indicateurs se contentent de dire à un lecteur obéissant de griser le bouton d'impression ou de refuser la copie. Toute bibliothèque PDF sérieuse sait lire et réécrire ces indicateurs, et c'est pourquoi les outils qui proposent de lever les restrictions d'impression fonctionnent instantanément sans rien vous demander. Ce n'est ni un piratage ni une défaite du chiffrement : le fichier n'a jamais été protégé en ce sens. Si votre intention est réellement d'empêcher l'impression ou l'extraction d'un document, le PDF est le mauvais conteneur et il vous faut un système de droits côté lecteur. Si votre intention est de signaler qu'un formulaire ne doit pas être modifié, le mot de passe propriétaire est un signal raisonnable et honnête ; rien de plus.

Vieux fichiers, chiffrement faible

Tous les PDF chiffrés ne sont pas protégés de la même façon, et la différence tient à l'année de fabrication du fichier. Le premier schéma utilisait RC4 avec une clé de quarante bits, choix défendable à la fin des années quatre-vingt-dix et aujourd'hui cassable trivialement par quiconque possède un ordinateur portable ; est venue ensuite une révision RC4 à 128 bits, puis, bien plus tard seulement, AES, d'abord en 128 puis en 256 bits. Un document produit par un vieux scanner, un ancien logiciel de comptabilité ou une suite bureautique laissée sur ses réglages hérités peut encore utiliser le plus faible d'entre eux, et son propriétaire croira raisonnablement être protégé, puisque le lecteur demande le mot de passe exactement de la même manière. Si vous protégez quelque chose d'important, vérifiez ce que votre logiciel applique réellement au lieu de le supposer, et s'il propose un réglage de compatibilité avec les anciens lecteurs, comprenez que la compatibilité proposée est celle de l'algorithme faible. Rechiffrer une archive ancienne avec un outil actuel est une vraie amélioration de sécurité même si le mot de passe ne change pas, et cela coûte une passe par fichier.

Retirer un mot de passe que vous connaissez déjà

Le cas légitime et de loin le plus fréquent est un fichier vous appartenant qui arrive chiffré — un relevé bancaire verrouillé par votre numéro fiscal, une fiche de paie verrouillée par votre date de naissance — et que vous devez archiver, chercher ou transférer sans saisir un mot de passe chaque fois. Ici l'opération est simple : vous fournissez le mot de passe, l'outil déchiffre les flux et écrit un nouveau PDF sans dictionnaire de chiffrement. Le contenu ne change pas ; seule l'enveloppe diffère. Notre outil fait exactement cela et rien d'autre. Il ne devine pas, ne tente aucune récupération et refuse le fichier si le mot de passe est faux, ce qui est le comportement correct et explique aussi pourquoi le message d'erreur compte : « mot de passe invalide » et « ceci n'est pas un PDF » sont deux problèmes totalement différents, et un outil qui les confond vous fait perdre l'après-midi.

Pourquoi les services de cassage sont la mauvaise réponse

Les résultats de recherche débordent de services promettant d'ouvrir n'importe quel fichier. Face à un mot de passe propriétaire, ils disent vrai et accomplissent une tâche triviale. Face à un mot de passe utilisateur bien choisi, ils vendent de la force brute, ce qui avec AES-256 n'est pas une question d'attendre plus longtemps : cela ne se terminera pas. Là où ils réussissent réellement, c'est contre les mots de passe courts et structurés : une date à six chiffres, un code à quatre chiffres, un numéro de client. C'est utile à savoir dans les deux sens. Cela devrait vous rendre sceptique face aux services de déblocage, et cela devrait vous faire réfléchir à deux fois avant de protéger un document vraiment sensible avec votre date de naissance, qui est précisément le premier mot de passe qu'essaie un attaquant.

L'endroit où va le fichier compte

Toute opération sur un PDF chiffré implique de livrer à la fois le document et son mot de passe. Quand cela se passe sur un serveur distant, vous venez de donner à un tiers une copie en clair d'un document que vous jugiez assez sensible pour le chiffrer, ainsi que la clé. Que ce soit acceptable dépend du document : pour une facture verrouillée, sans doute ; pour un compte rendu médical ou un contrat, sans doute pas. Exécuter l'opération dans votre propre navigateur supprime entièrement la question, puisque ni le fichier ni le mot de passe ne quittent l'onglet. C'est l'un des rares cas où le lieu de traitement n'est pas du marketing mais une différence réelle d'exposition.

Une courte liste de contrôle

Avant de chiffrer : demandez-vous qui devra ouvrir ce document dans deux ans et si cette personne aura encore le mot de passe. Utilisez une phrase secrète plutôt qu'un numéro personnel, et transmettez-la séparément. Avant de déchiffrer : assurez-vous d'avoir un droit légitime sur le document — l'opération est triviale à réaliser, et c'est justement pourquoi la responsabilité vous incombe et non à l'outil. Et après l'une ou l'autre opération, ouvrez le résultat et regardez une page du milieu : un fichier qui s'ouvre à la page un n'a pas prouvé que le reste a survécu.