Ce qu'un PDF dit de toi : lire et effacer ses métadonnées

Un PDF porte ses métadonnées deux fois

Le premier magasin est le dictionnaire Info, et il est aussi simple qu'il en a l'air : un petit ensemble d'entrées nommées, situé vers la fin du fichier. Titre, Auteur, Sujet, Mots-clés, Créateur, Producteur, date de création, date de modification. C'est à peu près tout, cela existe depuis les toutes premières versions du format, et c'est ce que presque tous les panneaux « propriétés du document » te montrent.

Le second magasin est un paquet XMP : un document XML, enveloppé de RDF, incorporé au PDF comme un objet à part entière. Il reprend l'essentiel des mêmes idées sous d'autres noms — le titre devient dc:title, l'auteur devient dc:creator, le logiciel d'écriture devient xmp:CreatorTool — et il peut porter bien plus que ce que le dictionnaire Info sait loger : mentions de droits, historiques de révision, données d'appareil et de couleur, champs sur mesure inventés par une chaîne éditoriale. XMP est une spécification à part entière, publiée séparément du format PDF et utilisée aussi dans les fichiers image et vidéo.

Rien dans le format n'oblige les deux à s'accorder. Un document écrit dans un traitement de texte, mis en page dans un logiciel de création et exporté par un distilleur a pu prendre son dictionnaire Info à une étape et son XMP à une autre. Renomme le fichier, modifie les propriétés dans une application, enregistre depuis une deuxième, et les deux magasins divergent. Ce n'est pas une panne exotique — c'est l'état ordinaire d'un document passé par plus d'un programme, c'est-à-dire la plupart des documents.

Ce que le panneau te montre, dans les deux magasins

L'outil lit le dictionnaire Info et place ses huit champs devant toi, modifiables. En dessous, il lit le paquet XMP et énumère les mêmes huit idées sous leurs noms XMP — dc:title, dc:creator, dc:description, dc:subject, xmp:CreatorTool, pdf:Producer, xmp:CreateDate, xmp:ModifyDate — en lecture seule, à côté des cases avec lesquelles elles sont censées concorder. En lecture seule parce que le paquet est le XML de quelqu'un d'autre : il est gardé en entier ou retiré en entier. Ce que le panneau garde encore pour lui, c'est tout ce qui dépasse ces huit champs — mentions de droits, historiques de révision, champs inventés par une chaîne de publication. Un paquet qui n'en porte aucun le dit sans détour : présent, sans rien que ce panneau puisse aligner sur un champ.

Le fichier de test bâti pour rendre cela visible avait un dictionnaire Info qui annonçait un dossier de conseil ordinaire et nommait un auteur, et un paquet XMP qui annonçait une revue salariale confidentielle à ne pas diffuser, nommait un auteur totalement différent et désignait aussi un autre logiciel d'écriture. En le chargeant aujourd'hui, le panneau montre les deux : le dossier ordinaire dans le champ modifiable, la revue salariale juste en dessous, les huit lignes XMP signalées comme divergentes, et au-dessus une ligne disant que les deux magasins ne concordent pas. La version qui serait partie sans être vue est celle qui est maintenant mise en évidence à l'écran.

Le reste du panneau est inhabituellement soigneux, et mérite d'être crédité. Un champ vide est retiré du fichier plutôt qu'écrit comme chaîne vide : un titre effacé donne un document sans titre, pas un document dont le titre est blanc — distinction qui compte, car les lecteurs affichent les deux différemment. Une date que tu n'as pas touchée est laissée exactement telle quelle plutôt que réécrite à la minute près. Et enregistrer ne réestampille pas le document : modifier un champ puis enregistrer a laissé le Producteur, la date de création et la date de modification identiques à l'octet près. La plupart des outils qui touchent un PDF inscrivent leur propre nom dans le champ Producteur et mettent la date de modification à maintenant, ce qui, sur un outil de métadonnées, reviendrait à ajouter une empreinte en prétendant en retirer une.

Effacer un magasin n'efface pas l'autre

Deux façons d'effacer ont été testées sur le même fichier, et elles donnent des résultats différents. Vider chaque champ à la main puis enregistrer a retiré complètement les entrées du dictionnaire Info — les huit sont revenues vides. Le paquet XMP est resté intact : le fichier portait toujours son bloc XML, nommant toujours le titre confidentiel, toujours l'autre auteur, toujours l'autre logiciel d'écriture. Quiconque ouvre le résultat dans un outil qui lit le XMP y trouverait tout ce que la personne croyait avoir retiré. Le panneau le dit désormais avant l'enregistrement : les champs Info vidés, chaque ligne XMP qui porte encore une valeur est signalée comme divergente, sous un avertissement disant que l'enregistrement la conserve.

Le bouton « Vider tous les champs » se comporte différemment, et mieux : il vide le formulaire et coche pour toi la case « Supprimer aussi le bloc XMP ». Enregistrer ensuite a produit un fichier sans entrées Info et sans aucun XMP — le titre confidentiel, le second auteur et le nom du distilleur étaient tous absents des octets bruts, pas seulement déconnectés. Cette distinction compte plus qu'il n'y paraît : supprimer seulement le pointeur vers un objet laisse ses octets dans le fichier, où n'importe quel analyseur prêt à balayer les trouvera. Ici, la suppression retire l'objet lui-même.

La règle pratique est courte. Utilise le bouton, pas le clavier. Vider les cases toi-même est le geste intuitif, et c'est toujours celui qui laisse la moitié du travail en plan, car retirer le bloc XMP est une coche séparée, qui n'apparaît que s'il y a un bloc à retirer. Ce qui a changé, c'est que cette coche n'est plus silencieuse : le panneau signale ce qui survivrait à l'enregistrement et t'avertit. Ce qu'il ne fera pas, c'est cocher la case à ta place. Le bouton, si.

Ce que le champ Producteur laisse échapper

Deux des huit champs nomment des logiciels plutôt que des personnes, et ils en disent plus qu'on ne l'imagine. Créateur nomme le programme dans lequel le document a été écrit ; Producteur nomme le programme qui l'a transformé en PDF. Les deux comportent en général un numéro de version, et parfois le système d'exploitation. Le paquet XMP porte les deux à nouveau sous ses propres noms, et rien n'oblige à ce qu'ils concordent : dans le fichier de test, le dictionnaire Info nommait deux fois un traitement de texte tandis que le paquet nommait un logiciel de mise en page et une bibliothèque PDF — un seul document, quatre logiciels dans le panneau.

Un document réellement publié utilisé dans ces tests — une fiche d'information publique d'un régulateur national des télécommunications — nomme comme Producteur une version précise de distilleur, plateforme comprise. C'est peu de chose sur un document public, et bien davantage sur un document que tu ne voulais pas voir remonter à un bureau particulier. Cela dit au lecteur quels logiciels ton organisation licencie, à peu près quand ils ont été mis à jour, et sur quelle plateforme ils tournent. Combine cela à la date de création et la machine est nettement circonscrite.

Ce qui survit à tout effacement : l'identifiant du document

Tout PDF enregistré par un producteur sérieux porte une paire d'identifiants tout à la fin du fichier. Le premier est engendré à la création du document et n'est censé jamais changer ; le second est régénéré à chaque mise à jour du fichier. Ensemble, ils permettent à un programme de reconnaître que deux fichiers sont des versions du même document, ce qui fait fonctionner les mises à jour incrémentales et les signatures numériques.

Cette paire n'est pas une métadonnée au sens où le panneau l'entend : elle n'est donc ni affichée ni proposée — et elle survit. Un vrai document de huit pages est passé par un effacement complet : chaque entrée Info supprimée, l'objet XMP retiré, le fichier réécrit à moins de la moitié de sa taille d'origine. Sa paire d'identifiants est ressortie caractère pour caractère identique à celle avec laquelle il était entré. Si tu as déjà envoyé un brouillon antérieur du même document à quelqu'un, les deux fichiers restent appariables, et l'identifiant est assez stable pour l'affirmer avec assurance.

Effacer les métadonnées n'est pas caviarder

Un PDF peut être modifié sans être réécrit. Au lieu d'enregistrer un nouveau fichier, un programme peut ajouter les objets modifiés à la fin de l'existant, avec une petite table indiquant quels objets ont été remplacés. Cela s'appelle une mise à jour incrémentale, et c'est ainsi que fonctionnent les annotations, le remplissage de formulaires et les signatures numériques sans invalider ce qui précède. Conséquence : un PDF peut contenir des versions antérieures de son propre contenu, toujours présentes dans les octets, simplement plus désignées par rien.

La bonne question est donc de savoir si cet outil réécrit ou complète, et la réponse est qu'il réécrit. Un fichier a été bâti avec une page dont le texte avait été remplacé par une mise à jour incrémentale, puis soumis à un effacement complet des métadonnées. La sortie était un fichier à révision unique, de moins de la moitié de la taille, et un lecteur affichait bien le texte de remplacement. Mais l'original supplanté s'y trouvait toujours — un objet complet, décompressible, portant les mots que la mise à jour devait masquer, récupérable en quelques lignes de code. La reconstruction recopie tous les objets qu'elle connaît, référencés ou non ; elle ne détermine pas lesquels sont devenus inatteignables.

Ce n'est pas tant une critique de l'outil qu'une frontière autour de ce qu'il promet. C'est un outil de métadonnées : il retire ce que le fichier dit de lui-même, et il le fait à fond, dans les deux magasins, quand tu utilises le bouton. Ce n'est pas un assainisseur, il ne ramasse pas les miettes du document, et il ne peut pas retirer un texte que tu as recouvert d'un rectangle noir dans un autre programme. Si un document doit être publiable sans risque, la passe de métadonnées est une étape parmi plusieurs, et la dernière devrait être de relire le fichier fini avec un outil qui te montre ce qu'il contient vraiment.

Questions fréquentes

Quelle différence entre le dictionnaire Info et le XMP, et pourquoi divergent-ils ?

Ce sont deux magasins indépendants pour des informations qui se recoupent. Le dictionnaire Info est une courte liste d'entrées nommées, présente dans le format depuis l'origine. Le XMP est un bloc XML incorporé comme objet, capable de porter les mêmes champs sous des noms normalisés, plus tout ce qu'une chaîne de production veut ajouter. Rien ne les synchronise. Un document écrit dans un programme, mis en page dans un deuxième et exporté par un troisième peut recueillir chaque magasin à un moment différent, et renommer ou réenregistrer met l'un à jour sans l'autre. C'est pourquoi un fichier peut présenter un titre anodin dans le panneau de propriétés d'un lecteur et un tout autre dans un outil qui lit le XMP.

Le panneau affiche les valeurs XMP mais ne me laisse pas les modifier. Pourquoi ?

Parce qu'un paquet est un document XML entier, pas huit champs. Les huit affichés sont ceux que le dictionnaire Info porte aussi, ce qui permet justement de les comparer côte à côte ; le même paquet peut porter en plus des mentions de droits, un historique de révisions, des profils de couleur et des champs inventés par une chaîne de publication, sous des schémas dont cet outil ne sait rien. Réécrire les huit sur place voudrait dire ressérialiser le XML de quelqu'un d'autre en espérant que rien d'autre ne casse — et un paquet à moitié mis à jour est pire qu'un paquet intact, car il divergerait toujours du dictionnaire Info, mais de façon moins visible. Le paquet est donc lu, comparé, puis gardé en entier ou retiré en entier. S'il te faut un XMP qui dise quelque chose de précis plutôt que rien, règle-le dans le programme qui a produit le document.

J'ai tout effacé. Le document est-il anonyme ?

Moins identifiable, pas anonyme. Si tu as utilisé le bouton « Vider tous les champs », les deux magasins de métadonnées ont réellement disparu, ce qui retire le nom de l'auteur, les logiciels, les versions et les dates. Reste la paire d'identifiants à la fin du fichier, qui a traversé un effacement complet sans changer et peut encore relier ce fichier à toute copie antérieure du même document. Au-delà, le contenu lui-même t'identifie : polices sous licence, papier à en-tête, tournure que tu emploies toujours, image de signature, et tout texte laissé par une révision antérieure. Effacer les métadonnées est une étape utile et une mauvaise dernière ligne de défense.

Enregistrer marque-t-il le fichier d'un nouveau producteur ou d'une nouvelle date ?

Non, et c'est délibéré. La plupart des bibliothèques qui écrivent un PDF inscrivent leur propre nom dans le champ Producteur et fixent la date de modification à l'instant de l'enregistrement, ce qui, sur un outil dont le but est d'effacer des traces, reviendrait à en ajouter une. Ici l'estampillage automatique est désactivé et chaque champ est écrit ou supprimé explicitement. Testé en modifiant un seul champ puis en enregistrant : le Producteur, la date de création et la date de modification sont tous revenus inchangés. Une date que tu n'as jamais touchée est également laissée telle quelle plutôt que réécrite — les champs du formulaire n'ont qu'une précision à la minute, si bien que réenregistrer une date non modifiée en perdrait discrètement les secondes, ce qui est en soi une modification.

Effacer les métadonnées retire-t-il du contenu caché ou supprimé ?

Non. L'outil retire ce que le fichier dit de lui-même, pas ce qu'il contient. Un PDF peut être modifié en ajoutant des changements à la fin plutôt qu'en le réécrivant : des versions antérieures d'une page peuvent donc rester dans les octets sans que rien ne les désigne. Cet outil reconstruit bien le fichier au lieu de le compléter — un fichier de test à deux révisions est revenu en une seule, à moins de la moitié de la taille, affichant correctement le contenu récent. Mais la reconstruction recopie tous les objets qu'elle connaît, qu'ils soient encore référencés ou non : l'original supplanté figurait donc toujours dans la sortie et se relisait en quelques lignes de code. Considère l'effacement des métadonnées comme une étape vers un document publiable, jamais comme le tout.

Pourquoi l'outil refuse-t-il mon PDF, et comment saisir les mots-clés ?

Un refus est presque toujours un chiffrement. L'outil le dit explicitement et te demande de retirer d'abord le mot de passe. Note qu'un fichier peut être chiffré sans jamais te demander de mot de passe : beaucoup de documents publiés portent un gestionnaire de sécurité avec un mot de passe utilisateur vide, ce qui les laisse s'ouvrir instantanément tout en refusant d'être modifiés. Pour les mots-clés, utilise des virgules. La virgule est le seul séparateur fiable, car les producteurs divergent : certains écrivent les mots-clés séparés par des espaces, d'autres par des virgules. Si ta ligne ne contient aucune virgule, elle est écrite exactement telle que tu l'as saisie, comme un seul mot-clé, plutôt que découpée sur les espaces et transformée en silence en plusieurs.