Certains outils PDF gratuits en ligne sont sûrs pour les fichiers sensibles et d’autres non, et vus de l’extérieur, ils se ressemblent presque tous. Les sûrs traitent votre fichier dans votre navigateur et ne l’envoient jamais. Les risqués l’envoient sur un serveur, le gardent pendant une durée que vous ne contrôlez pas, et se financent d’une façon qu’ils n’expliquent pas.

Vous pouvez les distinguer grâce à quelques vérifications qui prennent cinq minutes la première fois, puis quelques secondes. Voici la checklist, regroupée selon ce que chaque vérification vous apprend, suivie de la façon de peser les réponses selon le type de document.

Vérifications 1 à 4 : où votre fichier est-il traité ?

C’est le point le plus important, car un fichier qui ne quitte jamais votre appareil ne peut être ni divulgué, ni conservé, ni transmis par le site.

  • Vérification 1, la promesse affichée sur la page de l’outil. « Fonctionne dans votre navigateur » ou « votre fichier ne quitte jamais votre appareil » est une promesse précise et vérifiable. « Sécurisé », « chiffré » ou « nous respectons votre vie privée » ne dit rien de l’endroit où le travail se fait.
  • Vérification 2, une étape d’envoi. Une barre de progression qui avance avant toute autre chose, même pour un fichier d’une page, correspond en général au fichier qui part vers un serveur.
  • Vérification 3, le test hors ligne. Chargez la page de l’outil, coupez le Wi-Fi, puis faites passer un PDF de test sans importance. Si cela fonctionne encore, le traitement est local.
  • Vérification 4, l’onglet Réseau, si vous êtes à l’aise avec. La section suivante explique comment faire.

Lire l’onglet Réseau sans être développeur

Tous les navigateurs pour ordinateur peuvent vous montrer ce qu’une page envoie. Dans Chrome, Edge ou Firefox, appuyez sur F12 (ou faites un clic droit sur la page et choisissez Inspecter), puis ouvrez l’onglet Réseau. Laissez-le ouvert pendant que vous déposez un fichier de test et lancez l’outil.

  • Ignorez les petites requêtes. Les publicités, les statistiques, les polices et les images font toutes des requêtes de quelques kilo-octets. Presque tous les sites en ont.
  • Regardez la colonne de taille. Si votre PDF de test fait 2 Mo et qu’une requête d’environ 2 Mo part au moment où vous le déposez, c’est votre fichier qui est envoyé.
  • Regardez la méthode. Un envoi est normalement une requête POST ou PUT, souvent vers une adresse qui contient des mots comme upload, task ou process.
  • Recommencez avec le téléchargement. Certains sites traitent le fichier en local mais renvoient le résultat à un serveur pour le « stocker ». Le téléchargement doit créer un fichier sans qu’aucune grosse requête ne parte.

Sur un téléphone, il n’y a pas d’onglet Réseau facile d’accès : utilisez plutôt le test hors ligne. Chargez l’outil, activez le mode avion, puis essayez un fichier de test. Pensez à le désactiver ensuite.

Vérifications 5 à 8 : que dit la politique de confidentialité ?

Si un outil envoie bien le fichier, la politique de confidentialité vous dit à quel point c’est grave. Cherchez dans la page les mots « fichiers », « documents », « supprimer » et « conserver ».

  • Vérification 5, la conservation. « Les fichiers sont supprimés au bout d’une heure » signifie qu’ils ont eu votre fichier pendant une heure. Regardez si cela vaut aussi pour les utilisateurs gratuits, et pour les sauvegardes.
  • Vérification 6, l’usage de votre contenu. Regardez si les documents peuvent servir à améliorer les services ou à entraîner des systèmes. Si c’est flou, partez du principe que oui.
  • Vérification 7, qui d’autre y a accès. Cherchez la liste des sous-traitants et des hébergeurs, et le pays où se trouvent les serveurs.
  • Vérification 8, un vrai contact. Une société identifiée, une adresse et un moyen de demander la suppression sont un minimum. L’absence de politique est aussi une réponse.

Vérifications 9 à 12 : comment est-il financé, et que vous demande-t-il ?

  • Vérification 9, un financement visible. La publicité ou une offre payante sont des moyens normaux de financer un outil gratuit. Quand vous n’arrivez pas du tout à savoir comment un site gagne de l’argent, faites plus attention à ce que vous lui confiez.
  • Vérification 10, un mur de connexion. Devoir vous connecter après avoir fait le travail, juste pour télécharger, montre que le site veut votre adresse e-mail plus que votre fidélité.
  • Vérification 11, les installateurs et les extensions. Un site PDF qui pousse un téléchargement, une extension de navigateur ou une autorisation de notifications pour terminer une tâche simple demande bien plus d’accès que la tâche n’en nécessite.
  • Vérification 12, le téléchargement lui-même. Le résultat doit être un PDF. Un fichier en .exe, un .zip inattendu ou une suite de redirections avant le fichier sont une raison de s’arrêter.
L’erreur la plus courante est de faire confiance au mot « sécurisé ». Un cadenas et le HTTPS signifient que le fichier est chiffré pendant son trajet vers le serveur. Ils ne disent rien de ce qu’il devient une fois arrivé.

L’importance de chaque vérification dépend du document

Tous les fichiers ne demandent pas le même soin. Un repère approximatif :

  • Enjeu faible, comme le menu d’un café, une brochure publique ou le prospectus d’une fête d’école. N’importe quel outil sérieux convient. Les vérifications 11 et 12 s’appliquent quand même.
  • Personnel, comme une fiche de paie, un relevé bancaire ou un bail. Préférez un outil qui passe les vérifications 1 à 4. S’il envoie le fichier, il doit passer clairement les vérifications 5 à 8.
  • Pièces d’identité, comme un scan de passeport, d’IC ou de permis de conduire. Utilisez uniquement un outil qui traite le fichier dans votre navigateur. Un scan de pièce d’identité divulgué est difficile à rattraper.
  • Données d’autres personnes, comme des fichiers clients, des dossiers de patients ou des documents RH. Les règles de votre organisation passent en premier. Les lois sur la protection des données, comme le PDPA en Malaisie et le RGPD dans l’UE, imposent aux organisations de sécuriser les données personnelles.

Quand un outil échoue à une vérification

Échouer à la vérification 3 ne rend pas un outil malhonnête. Certaines tâches, comme la reconnaissance de texte à grande échelle sur des scans, se font souvent sur des serveurs, et une politique claire peut rendre cela acceptable pour des fichiers ordinaires. Y échouer tout en affirmant fonctionner dans votre navigateur, c’est autre chose : cette promesse est fausse, alors ne vous fiez pas au reste.

Si vous avez déjà envoyé quelque chose de sensible à un site dont vous doutez maintenant, cherchez sa procédure de demande de suppression et utilisez-la. S’il s’agissait d’une pièce d’identité ou de coordonnées bancaires, méfiez-vous des tentatives d’hameçonnage qui vous citent ces informations.

Refaites les vérifications de temps en temps pour les outils que vous utilisez souvent. Les sites sont vendus, changent de mode de financement ou déplacent une fonction vers un serveur, et l’outil que vous avez vérifié l’an dernier peut fonctionner autrement aujourd’hui. Un outil en favori qui affiche soudain une barre d’envoi mérite un second regard.

Ce que donne Kopitiam avec la même checklist

Il est juste de soumettre notre propre outil au même examen. Les outils PDF de Kopitiam traitent votre fichier dans le navigateur et ne l’envoient jamais, et ils continuent de fonctionner si la connexion coupe une fois la page chargée. Il n’y a pas de compte, pas de mur avant le téléchargement et pas d’installateur.

Ce que le site envoie : Kopitiam est financé par la publicité, donc votre navigateur demande une publicité à afficher à notre partenaire publicitaire. Si vous acceptez les statistiques dans le bandeau cookies, des événements anonymes enregistrent par exemple quel outil a été ouvert, jamais le fichier ni son nom. Si vous choisissez Essentiels uniquement, les statistiques ne se chargent pas. Les polices viennent de Google Fonts. La page Confidentialité liste tout cela, et vous pouvez le confirmer vous-même dans l’onglet Réseau.