Ce qui arrive à votre PDF après « Choisir un fichier »

Jeudi après-midi. L'agence immobilière veut le dossier de location en un seul fichier : le contrat de travail, les deux derniers bulletins de salaire, l'avis d'imposition, la copie de la pièce d'identité. Vous tapez « fusionner PDF » dans la barre de recherche, cliquez sur le premier résultat, faites glisser vos fichiers dans le cadre, patientez cinq secondes, téléchargez le résultat et fermez l'onglet.

Ce qui s'est passé pendant ces cinq secondes, presque personne ne l'a jamais lu. L'essentiel est pourtant public — encore faut-il savoir où regarder. Et c'est rarement sur la page qui affiche un cadenas et le mot « sécurisé ».

Ce texte ne cite volontairement aucun prestataire. Il vous montre plutôt comment évaluer vous-même n'importe quel service en quelques minutes — nous y compris.

Le voyage de votre fichier

Quand un outil en ligne basé sur un serveur traite votre PDF, il ne le fait pas dans votre navigateur. Il le fait dans un centre de données, et votre fichier doit s'y rendre. Le trajet ressemble typiquement à ceci :

Votre navigateur emballe le fichier et l'envoie en HTTPS à un répartiteur de charge, qui le transmet à un nœud de traitement. Le fichier y atterrit — selon l'architecture — en mémoire vive, sur un disque temporaire ou directement dans un stockage objet comme Amazon S3. Un processus worker exécute l'opération proprement dite. Le résultat est déposé à son tour, le plus souvent derrière une URL générée aléatoirement, pour que vous puissiez le télécharger. En parallèle, le serveur web, le répartiteur de charge et l'application écrivent leurs journaux. Le stockage objet réplique sur plusieurs sites. Les sauvegardes suivent leur propre calendrier.

Ce n'est pas une critique, c'est du travail solide — c'est ainsi qu'on construit des services capables de monter en charge. Mais cela explique pourquoi « supprimé » est un mot qui a plus de significations qu'on ne le soupçonne à la lecture. La commande de suppression atteint le fichier principal de façon fiable. Qu'elle atteigne aussi chaque réplique, chaque sauvegarde et chaque ligne de journal est une question d'implémentation — et cela ne figure dans aucune politique de confidentialité.

Comment lire un délai de suppression

Voici la partie la plus utile de cet article ; elle vous coûte cinq minutes par prestataire.

Sur les pages d'accueil, dans les articles d'aide et dans les FAQ figurent des chiffres comme « supprimé au bout d'une heure ». C'est du texte marketing. Ce qui engage juridiquement, c'est la politique de confidentialité. Si vous posez les deux côte à côte, soyez attentif à cinq points :

1. Les chiffres divergent-ils ? Cherchez dans la politique de confidentialité la section sur les durées de conservation et comparez-la avec ce qu'affiche la page produit. L'expérience montre que le coup d'œil en vaut la peine.

2. Le délai court-il à partir de l'envoi ou du dernier accès ? La différence est énorme. Un délai « à compter de la dernière ouverture » n'est pas une horloge, c'est un minuteur qui repart de zéro à chaque accès.

3. Le même délai s'applique-t-il avec et sans compte utilisateur ? Beaucoup de gens renoncent délibérément à créer un compte pour laisser moins de traces. Vérifiez si, dans votre cas, cela signifie réellement la conservation la plus courte ou la plus longue — la réponse n'est pas toujours celle qu'on attend.

4. Certains outils font-ils exception ? Les signatures électroniques, par exemple, exigent une conservation plus longue à des fins de preuve ; c'est objectivement justifié, mais souvent mentionné uniquement dans les petites lignes du service concerné.

5. Quelle date porte le document ? Si la politique de confidentialité est nettement plus ancienne que les fonctions les plus récentes du menu — des outils d'IA pour résumer ou traduire, par exemple —, la question mérite d'être posée : quels sous-traitants ultérieurs ont été ajoutés pour cela ?

Le cinquième point est le plus actuel. Les fonctions d'IA nécessitent en règle générale d'autres prestataires en coulisses. Pour savoir où le document atterrit alors réellement, la réponse se trouve dans la liste des sous-traitants ultérieurs — jamais sur la page produit.

L'ironie des outils les plus sensibles

Regardez une liste d'outils typique. Deux fonctions reviennent presque partout, et pour toutes deux, l'approche par téléversement développe une logique singulière :

« Caviarder un PDF. » Vous noircissez des passages parce que le document, dans sa forme d'origine, ne doit pas tomber entre des mains étrangères. Pour y parvenir, vous le transmettez dans sa forme d'origine à un tiers.

« Supprimer le mot de passe d'un PDF. » Vous avez un fichier chiffré — le relevé bancaire, l'attestation d'assurance, le bulletin de salaire. Pour lever la protection, vous transmettez le fichier et le mot de passe.

Ce n'est un reproche pour personne ; côté serveur, il n'y a techniquement pas d'autre solution. Mais ce sont précisément les deux cas où trois secondes de réflexion valent la peine.

Les métadonnées aussi sont des données

Les politiques de confidentialité distinguent fréquemment le fichier de ses métadonnées — nom, taille, type. Les métadonnées relèvent souvent de règles plus généreuses, par exemple leur exploitation pour améliorer le produit.

Cela semble anodin, jusqu'à ce qu'on pense aux noms de fichiers qui existent réellement sur les disques durs. Licenciement_Martin_final.pdf. Diagnostic_oncologie_2024.pdf. Convention_divorce_brouillon3.pdf. Le contenu reste sous clé ; le titre, non.

Que ce ne soit pas un problème théorique, un coup d'œil à la base Have I Been Pwned suffit à le montrer. Dans l'entrée consacrée à un grand service PDF compromis en 2020, parmi les catégories de données exposées figurent, à côté des noms et des empreintes de mots de passe, expressément aussi les titres des documents convertis.

Trois incidents documentés

Les cas suivants sont publiquement attestés et vérifiables via les sources citées. Ils concernent exclusivement les services qui y sont décrits et ne permettent aucune conclusion sur d'autres prestataires.

Septembre 2020 — l'ampleur a d'abord été minimisée. Un fournisseur PDF coté en bourse a signalé à son autorité boursière un incident de sécurité à l'impact limité ; les données clients n'auraient pas été touchées. Quelques mois plus tard, un groupe d'attaquants connu publiait la base de données complète : 14 Go, plus de 77 millions d'enregistrements. Auparavant, un lot composé de cette base et d'environ un téraoctet de documents avait été mis en vente avec une enchère de départ de 80 000 dollars. (Documenté par BleepingComputer et Have I Been Pwned.)

Juillet 2024 — le stockage était tout simplement ouvert. L'équipe d'investigation de Cybernews a découvert deux services PDF dont le stockage Amazon S3 était accessible sur internet sans la moindre restriction. Au moment de la publication, quelque 89 000 fichiers étaient librement consultables, dont des passeports, des permis de conduire, des contrats et des diplômes. Selon le rapport, plusieurs tentatives de contact des chercheurs sont restées sans réponse, tandis que des documents continuaient d'être téléversés. (Documenté par Cybernews.)

Mars 2025 — les faux convertisseurs. Le bureau du FBI de Denver a publiquement mis en garde contre des sites de conversion frauduleux. Ils accomplissent bel et bien la tâche promise — sauf que le document renvoyé contient du code malveillant. Selon le FBI, certaines de ces offres fouillent en outre les fichiers téléversés à la recherche de données personnelles, bancaires et de cryptomonnaies. Une porte-parole du bureau a déclaré aux médias que les plus exposés sont ceux qui tapent « free online file converter » dans un moteur de recherche, parce que des annonces payantes occupent souvent le haut de la page. (Communiqué de presse du FBI Denver Field Office, mars 2025.)

Le troisième cas est le plus important au quotidien, parce qu'il n'a rien à voir avec la négligence d'entreprises sérieuses. Il décrit des offres conçues dès le départ comme des pièges — et qui, pour l'utilisateur, ressemblent exactement à toutes les autres.

Deux obligations, pas une : le cas allemand qui concerne toute l'UE

Pour les particuliers, tout cela reste un arbitrage. Pour les entreprises et certaines professions, c'est une question de droit — et pas seulement en Allemagne : la première des deux obligations qui suivent découle directement du RGPD et s'applique à l'identique en France. Ce qui suit décrit l'état du droit et ne remplace pas un conseil juridique dans un cas concret.

La sous-traitance de données. Une entreprise qui confie à un service externe un document contenant des données personnelles externalise un traitement. La chambre de commerce et d'industrie de Munich et de Haute-Bavière le formule sans ambiguïté dans son guide sur la protection des données des sites web : des activités comme la conversion de données constituent, au sens du RGPD, une sous-traitance — un contrat conforme à l'article 28 du RGPD est alors requis. Et d'ajouter : cette obligation ne tombe que si aucune donnée personnelle n'est traitée. Rien de spécifiquement allemand là-dedans : l'article 28 s'impose exactement de la même manière à une entreprise française. Sans ce contrat, il y a infraction, même si le prestataire travaille de façon irréprochable ; l'amende encourue va ici jusqu'à 10 millions d'euros ou deux pour cent du chiffre d'affaires annuel mondial (art. 83, § 4 du RGPD).

Beaucoup de prestataires établis proposent un tel contrat. Simplement, personne ou presque ne le signe quand il s'agit de fusionner deux pages en vitesse.

Les professions tenues au secret. L'Allemagne illustre jusqu'où peut aller la seconde obligation. Pour les avocats, médecins, conseillers fiscaux, notaires et psychothérapeutes s'y ajoute l'article 203 du code pénal allemand (StGB). Jusqu'en 2017, la situation était délicate : toute transmission à un prestataire informatique externe pouvait constituer une révélation de secret. La loi entrée en vigueur le 9 novembre 2017 a créé la catégorie du « tiers concourant à l'activité » : selon le § 203, alinéa 3, phrase 2, une révélation à son égard est licite dans la mesure nécessaire au recours à la prestation ; des normes d'habilitation dans les règlements professionnels l'accompagnent (§ 43e BRAO, § 62a StBerG, § 26a BNotO, § 50a WPO).

Le piège se trouve à l'alinéa 4 : le professionnel doit obliger le prestataire au secret et l'informer des conséquences pénales. Qui l'omet se rend lui-même punissable. Un contrat de sous-traitance au sens du RGPD ne s'en charge pas — il régit la protection des données, pas le droit pénal. Ce sont deux obligations distinctes, et la seconde est régulièrement oubliée.

La France connaît des devoirs comparables : le secret professionnel des avocats, médecins ou notaires y est protégé pénalement et encadré par les règles déontologiques de chaque profession. Les détails diffèrent ; la conclusion, non : qui fait passer « vite fait » les conclusions d'un client par un convertisseur en ligne gratuit n'a, selon toute vraisemblance, rempli aucune des deux obligations.

L'alternative : calculer là où le fichier se trouve déjà

Si le traitement des PDF s'est historiquement fait sur des serveurs, la raison est technique. Un PDF n'est pas un format texte, mais une structure binaire avec tables de références croisées, polices embarquées et arbres d'objets. Pour le décomposer et le réécrire proprement, il faut une bibliothèque sérieuse — et celles-ci ont été écrites pendant des décennies en C ou C++ et ne tournaient pas dans le navigateur.

WebAssembly a dénoué la situation. Les mêmes bibliothèques peuvent être compilées vers un format binaire que le navigateur exécute à une vitesse quasi native. Le déroulé devient alors :

1. Vous choisissez un fichier. Le navigateur le transmet au code JavaScript via la File API sous forme d'ArrayBuffer — sans trafic réseau.
2. Un module WebAssembly, le plus souvent dans un web worker pour que l'interface reste fluide, traite les octets dans la mémoire de l'onglet.
3. Le résultat est généré sous forme de blob et proposé au téléchargement via une URL d'objet.
4. Vous fermez l'onglet. La mémoire est libérée.

À aucun moment le fichier ne quitte l'appareil. La boîte à outils pour cela est réelle et mûre : PDF.js, de Mozilla, affiche depuis des années les PDF dans Firefox. pdf-lib crée et modifie des documents en pur JavaScript. MuPDF.js, d'Artifex, apporte le moteur MuPDF complet au navigateur en WebAssembly. Tesseract.js rend la reconnaissance de texte possible en local. Et pour le cas le plus coriace — Word ou Excel vers PDF —, il existe depuis novembre 2024 ZetaOffice, d'allotropia : une compilation de LibreOffice en WebAssembly avec une interface JavaScript.

Ce qui reste honnêtement difficile côté client

Un article qui n'énumère que des avantages est de la publicité. Voici donc l'autre colonne du bilan :

La mémoire vive. Le wasm32 courant adresse au maximum 4 Go — ce n'est pas une limite souple, c'est l'espace d'adressage entier d'un pointeur 32 bits. Depuis WebAssembly 3.0 (septembre 2025), l'adressage 64 bits existe, mais les navigateurs le plafonnent à 16 Go, il coûte en performances et sa prise en charge n'est pas partout au même niveau. En pratique : un scan de 400 mégaoctets et 800 pages peut faire planter l'onglet sur un smartphone ancien. Un serveur n'a pas ce problème.

Le temps de chargement. Un module WebAssembly avec une pile PDF complète pèse quelques mégaoctets. Au premier appel, il doit être téléchargé — ensuite il reste en cache et la page fonctionne même hors ligne, mais la première impression est plus lente qu'avec un outil serveur.

Et le point le plus important, y compris pour ce qui nous concerne : côté client ne veut pas automatiquement dire respectueux de la vie privée. La page connaît toujours votre adresse IP. Les scripts d'analyse d'audience, la journalisation des erreurs et les régies publicitaires travaillent indépendamment de l'endroit où le PDF est traité. Une offre qui calcule en local tout en embarquant cinq traceurs n'a résolu que la moitié du problème. Ne demandez donc pas seulement si le fichier reste où il est, mais aussi ce qui s'échappe par ailleurs — et cela pour chaque prestataire, celui-ci compris.

Le test que vous faites vous-même en 30 secondes

Vous n'êtes obligé de croire personne. Deux vérifications qui fonctionnent sur n'importe quel site :

Le test réseau. Ouvrez les outils de développement (F12 ou Ctrl+Maj+I, Cmd+Option+I sur Mac), passez à l'onglet « Réseau » et filtrez sur « Fetch/XHR ». Puis traitez un fichier. Un outil basé sur un serveur génère à cet endroit une requête POST dont le volume de données transférées correspond à peu près à la taille de votre fichier. Avec un traitement local, il ne s'y passe rien.

Le test hors ligne. Encore plus simple, et impossible à enjoliver : chargez la page, coupez ensuite le Wi-Fi ou activez le mode avion — et continuez à travailler. Ce qui fonctionne sans connexion internet n'a, à coup sûr, rien transmis.

Faites tranquillement les deux tests sur cette page. Nous n'aimerions pas qu'il en soit autrement.

Une règle simple à retenir

Avant de cliquer sur « Choisir un fichier », posez-vous une seule question : enverrais-je ce document par e-mail à un inconnu qui promet de le supprimer au bout de deux heures ?

Pour le menu de la fête de l'association : bien sûr. Pour la présentation au conseil d'administration, le dossier médical, les conclusions d'un client, le scan de la pièce d'identité : plutôt non.

Et si la réponse est « plutôt non », la bonne nouvelle est que vous n'avez pas à choisir entre confort et prudence. Le navigateur sait désormais le faire lui-même.

État : juillet 2026. Cet article décrit des mécanismes techniques généraux et l'état du droit ; il n'évalue aucun prestataire en particulier et ne constitue pas un conseil juridique. Pour juger un service concret, consultez vous-même sa politique de confidentialité en vigueur.