Protéger un PDF par mot de passe

Un bulletin de paie, un contrat, un relevé bancaire : le fichier part par e-mail et reste ensuite indéfiniment quelque part — dans une boîte de réception, sur un serveur d'entreprise, dans une sauvegarde automatique. Le mot de passe est la seule protection qui voyage avec le PDF, où qu'il soit recopié. Encore faut-il poser la bonne : le format en propose deux, et l'une des deux ne protège pratiquement rien.

Deux mots de passe, deux niveaux de protection très différents

La spécification PDF prévoit deux mots de passe distincts, que les interfaces confondent souvent sous le même mot « protéger ».

• Le mot de passe utilisateur, dit aussi « d'ouverture » : c'est lui qui verrouille l'accès au contenu. Sans lui, le lecteur ne peut rien afficher — ni le texte, ni les images, ni les pièces jointes du document.
• Le mot de passe propriétaire, dit « de permissions » : le document s'ouvre normalement, mais il embarque des indicateurs qui interdisent l'impression, la copie de texte, l'extraction de pages ou l'ajout d'annotations.

Le second est une convention, pas une serrure. Les restrictions sont inscrites dans le fichier et c'est au logiciel de lecture de choisir de les respecter. Beaucoup de visionneuses, en particulier les lecteurs mobiles et les bibliothèques en ligne de commande, les ignorent purement et simplement. Un PDF « protégé contre la copie » se laisse donc très souvent copier.

Conclusion pratique : si l'enjeu est la confidentialité, c'est le mot de passe d'ouverture qu'il faut poser, et lui seul compte vraiment. C'est ce qu'applique l'outil de protection de PDF : vous déposez le fichier, vous saisissez le mot de passe, vous récupérez un PDF chiffré qui ne s'ouvre plus sans lui.

Ce que le chiffrement couvre, et ce qu'il laisse à découvert

Les PDF chiffrés ont utilisé successivement RC4 sur 40 puis 128 bits (les fichiers anciens, grosso modo d'avant 2006), puis AES-128 à partir d'Acrobat 7, et enfin AES-256, apparu avec Acrobat 9 en 2008 et normalisé dans sa forme actuelle par PDF 2.0. Les variantes RC4 sont aujourd'hui considérées comme cassées ou fragiles ; AES-128 et AES-256 sont, eux, hors de portée d'une attaque frontale.

Mais l'algorithme n'est presque jamais le maillon faible. Un AES-256 refermé sur « Facture2024 » tombe en quelques secondes face à une recherche par dictionnaire : c'est le mot de passe qui fixe le niveau réel de sécurité, pas la case cochée dans le logiciel.

Trois éléments restent visibles même sur un PDF correctement chiffré :

• Le nom du fichier. Il n'est jamais chiffré. « bilan-licenciement-durand.pdf » raconte l'essentiel avant même que la demande de mot de passe s'affiche.
• Les métadonnées, parfois. La norme autorise à laisser le bloc de métadonnées en clair pour que les moteurs d'indexation continuent de fonctionner ; selon l'outil utilisé, le titre, l'auteur ou le logiciel d'origine peuvent rester lisibles.
• La taille et le nombre de pages. Le chiffrement porte sur les flux de contenu, pas sur la structure du document.

Et surtout, un mot de passe ne remplace pas un caviardage. Poser un rectangle noir par-dessus un numéro de compte n'efface rien : le texte reste dans le fichier, sous le rectangle, et il ressort à la première copie ou à la première extraction. Une donnée qui ne doit pas être lue doit être supprimée du document, pas masquée.

Un mot de passe qui tient, et qui arrive à destination

Quatre règles qui changent réellement quelque chose :

• La longueur avant la complexité. Quatre mots courants tirés au hasard résistent mieux que « P@ssw0rd! » — en les choisissant sans accent, voir le point ci-dessous. Comptez 12 caractères au minimum, 16 si le document circule au-delà d'une seule personne.
• Rien qui vienne du document. Le nom du client, le numéro de dossier, la date du jour ou la référence de facture sont les premiers essais de quiconque cherche à ouvrir le fichier.
• Un canal différent pour la transmission. Envoyer le PDF et son mot de passe dans le même e-mail annule tout le travail. Le fichier par courriel, la clé par SMS, par téléphone ou par messagerie chiffrée.
• Rien en dehors de l'ASCII. Les caractères accentués et les symboles exotiques sont encodés différemment selon les lecteurs ; un mot de passe contenant « é » peut devenir intransmissible d'un logiciel à l'autre. Restez sur a-z, A-Z, 0-9 et la ponctuation simple.

Pour la génération, un générateur de mot de passe évite le biais naturel qui fait toujours retomber sur les mêmes structures. Rangez ensuite la clé dans un gestionnaire : un PDF chiffré dont on a perdu le mot de passe est définitivement perdu. Il n'existe aucune procédure de récupération, et c'est exactement ce qu'on lui demande.

L'ordre des opérations compte

Le chiffrement doit être la dernière étape. Un PDF protégé refuse la plupart des traitements ultérieurs : fusion, découpe, rotation, compression échouent ou réclament le mot de passe à chaque passage. Terminez donc le document d'abord — assemblez les pièces, remettez les pages à l'endroit, réduisez le poids si vous devez l'envoyer en pièce jointe avec la compression PDF — et chiffrez seulement à la fin.

Après protection, faites systématiquement un contrôle : refermez le fichier, rouvrez-le, vérifiez qu'il réclame bien le mot de passe, et testez-le si possible dans un lecteur différent de celui qui a servi à le créer. Trente secondes qui évitent d'envoyer un document que le destinataire ne pourra pas ouvrir — ou, pire, un document qui s'ouvre sans rien demander.

Les blocages les plus fréquents

« Le fichier est déjà protégé »

On ne superpose pas deux chiffrements. Si le PDF porte déjà un mot de passe, il faut d'abord le retirer avec l'outil de déprotection — à condition évidemment de connaître ce mot de passe et d'être en droit d'agir sur le document — puis appliquer le nouveau.

Le destinataire n'arrive pas à l'ouvrir

Les aperçus intégrés aux webmails et aux applications de messagerie ne gèrent pas toujours les PDF chiffrés : l'aperçu affiche une page blanche ou une erreur générique. Demandez au destinataire de télécharger le fichier et de l'ouvrir dans un véritable lecteur PDF avant de conclure à un problème de mot de passe.

La plateforme refuse le dépôt

Beaucoup de portails — administrations, banques, plateformes de candidature, appels d'offres — rejettent les PDF chiffrés parce que leur chaîne de traitement automatique ne peut pas les lire. Vérifiez la consigne avant d'envoyer, quitte à déposer une version non protégée sur un canal déjà sécurisé.

Le document porte une signature électronique

Chiffrer un document déjà signé peut faire échouer la vérification dans certains outils de contrôle. Si la signature a une valeur juridique, faites tester le fichier final par le destinataire avant de considérer l'envoi comme abouti.

Le PDF est un scan

Le mot de passe protège l'accès, pas la lisibilité. Un document numérisé sans couche de texte reste une suite d'images une fois déverrouillé : ni recherche, ni copier-coller. Si le destinataire doit pouvoir chercher dedans, il faut passer par une reconnaissance de caractères avant de chiffrer.

Quand le mot de passe n'est pas la bonne réponse

Trois situations où il vaut mieux autre chose :

• Diffusion large d'un document que vous voulez seulement décourager de réutiliser (grille tarifaire, book, épreuve) : le mot de passe devient ingérable dès qu'il faut le communiquer à trente personnes, et il ne survit pas à la première fuite. Un filigrane visible n'empêche pas la lecture, mais il décourage la réutilisation — c'est justement ce qu'on cherche ici.
• Archivage de longue durée. Un dossier chiffré rouvert dans dix ans, avec un mot de passe noté nulle part, est un dossier perdu. Pour de l'archive, chiffrez le support ou le conteneur plutôt que chaque fichier isolément.
• Partage que vous voulez pouvoir reprendre. Un lien à expiration, révocable, laisse une trace de qui a téléchargé et se coupe d'un clic. Un PDF chiffré, une fois parti, ne se rattrape plus.

Pour tout le reste — la pièce jointe qui ne doit être lue que par son destinataire — le mot de passe d'ouverture reste la solution la plus simple et la plus universelle, parce qu'elle ne dépend d'aucun service tiers pour fonctionner. La protection PDF s'exécute sur les serveurs de Convertu, les fichiers déposés y sont supprimés au bout d'une heure, et une conversion par jour est offerte sans inscription ; au-delà, l'abonnement à 7 € par an lève la limite sur l'ensemble des outils serveur.