Débranche : quels outils de fichiers en ligne téléversent vraiment ton document

« Sécurisé » répond à une question que personne n'a posée

Regarde le haut de presque n'importe quel outil PDF en ligne et tu trouveras les mêmes trois assurances : la connexion est chiffrée, les fichiers sont supprimés, les serveurs sont sécurisés. Chacune de ces affirmations peut être parfaitement vraie pendant que la chose que tu voulais savoir reste sans réponse. Le chiffrement en transit protège le fichier de quelqu'un qui écoute la ligne. Il ne fait rien contre le serveur à l'autre bout, qui par définition reçoit le fichier déchiffré, puisqu'il le faut bien pour travailler dessus.

La suppression après un délai fixe est un engagement réel et appréciable, mais c'est une promesse sur l'avenir, pas une description du présent. Entre le téléversement et la suppression, il existe un intervalle pendant lequel une copie complète de ton document réside sur du matériel que tu ne contrôles pas. Pour iLovePDF cet intervalle va jusqu'à deux heures selon ses propres termes ; pour les outils gratuits de Smallpdf il est d'une heure, et de quatorze jours pour tout ce qui passe par la signature électronique ou le partage. Ce sont parmi les délais les plus courts du secteur. Le point n'est pas qu'ils soient longs. Le point est que la question « combien de temps est-il conservé ? » n'existe que parce que la réponse à « est-il envoyé, tout court ? » était oui.

Rien de tout cela ne rend ces services indignes de confiance. Ils sont grands, ils sont audités, et un délai de deux heures est un engagement d'ingénierie réel qui coûte de l'argent à tenir. Cela en fait une chose d'une autre nature qu'un outil qui ne reçoit jamais le fichier, et c'est sur la nature qu'il faut choisir quand le document est une fiche de paie, un résultat médical, un contrat en négociation ou des données client dont tu es juridiquement responsable.

Pourquoi se déconnecter est le seul test infalsifiable

Un outil qui traite les fichiers sur un serveur n'a aucun moyen de finir le travail sans le réseau. Il n'y a pas de repli astucieux, pas de cache qui sauve : le code qui fait le travail n'est pas sur ta machine, donc connexion coupée, il ne peut pas s'exécuter. Un outil qui traite les fichiers dans le navigateur a déjà téléchargé tout ce qu'il lui faut au moment où tu appuies sur le bouton, et ne remarque donc pas la disparition du réseau. Le test fonctionne parce qu'il demande au logiciel une chose dont une seule des deux architectures est physiquement capable.

Il y a une complication honnête, et il vaut mieux la connaître pour que le résultat ne t'induise pas en erreur. Les outils qui tournent dans le navigateur sont généralement volumineux — un moteur vidéo compilé en WebAssembly pèse des dizaines de mégaoctets — et ils récupèrent ce moteur à la première utilisation. Si tu te déconnectes avant la fin de ce téléchargement, un outil entièrement local échouera, et cela ressemblera à un téléversement. Le remède est dans la première étape ci-dessus : laisse la page se stabiliser, utilise l'outil une fois connecté, et débranche seulement ensuite. Ce que tu testes, c'est si le fichier bouge, pas si le programme peut se matérialiser à partir de rien.

D'où vient le moteur est une question à part

Réussir le test hors ligne prouve que ton fichier n'a pas bougé. Cela ne prouve pas que rien n'a été communiqué, car beaucoup d'outils qui tournent dans le navigateur chargent leur WebAssembly depuis un CDN public plutôt que depuis leur propre domaine. Cette seule requête indique à l'opérateur du CDN ton adresse IP, ton navigateur, la page où tu étais et donc ce que tu t'apprêtais à faire. Le fichier est privé ; le fait que tu en aies converti un ne l'est pas.

Ce site sert les siens. Le moteur audio et vidéo est récupéré depuis /ffmpeg/ sur ce domaine et le worker de rendu PDF depuis /pdfjs/, si bien que la seule partie qui apprend que tu as ouvert un outil de fichiers est le site que tu as délibérément ouvert. C'est peu de chose à côté du fait de ne pas téléverser le document, et c'est exactement le genre de petite chose qu'on saute quand un lien CDN tient en une ligne et l'auto-hébergement en une étape de build.

Ce que le traitement dans le navigateur te coûte réellement

Il serait malhonnête de présenter cela comme gratuit. Le travail fait dans ton navigateur tourne sur ton processeur, dans ta mémoire, et il est borné par les deux. Une ferme de serveurs peut lancer trente-deux cœurs sur une vidéo de deux gigaoctets ; ton portable non, et sur un téléphone l'onglet peut être purement et simplement tué par le système pour excès de mémoire. Sur de très gros fichiers médias, un service à téléversement sera réellement plus rapide, et il sera parfois le seul à aller au bout.

L'arbitrage est aussi inégal selon le type de fichier, et la version honnête mérite d'être dite. Le travail structurel sur PDF, le redimensionnement et la compression d'images, les sous-titres et le texte, et la plupart des opérations audio passent confortablement dans un navigateur sur du matériel ordinaire. C'est le transcodage vidéo long qui fait vite baisser le plafond. Si le fichier est assez petit pour que l'outil local aille au bout, il n'y a aucune raison de l'envoyer où que ce soit ; s'il ne l'est pas, c'est une vraie raison de choisir autrement, et une meilleure raison qu'un macaron marketing.

Quand ce n'est plus une préférence mais une obligation

Pour une photo de vacances, rien de tout cela n'a d'importance. Pour des documents manipulés dans le cadre du travail, cela peut cesser d'être une affaire de goût. Sous le RGPD, envoyer à un service en ligne un fichier contenant les données personnelles d'autrui fait de ce service un sous-traitant agissant pour ton compte, et ce montage réclame un contrat au contenu défini par l'article 28 — pas une case à cocher, un vrai accord. Téléverser une liste de clients, un lot de candidatures ou une série de formulaires médicaux vers un outil web gratuit est, au sens strict, un transfert dont tu réponds et que tu n'as probablement pas formalisé.

L'attrait d'un outil qui ne reçoit jamais le fichier est que la question se dissout au lieu de trouver une réponse. Pas de sous-traitant puisqu'il n'y a pas de traitement pour le compte d'autrui, pas de transfert à documenter, pas de durée de conservation à concilier avec la vôtre, pas de notification de violation à envisager sur ce chemin. Que cela t'importe dépend entièrement de ce que contient le document — raison pour laquelle le test de cet article mérite d'être fait une fois sur ce que tu utilises déjà, avant le jour où cela comptera.

Une grille applicable en une minute

Fais d'abord le test hors ligne, parce qu'il répond à la seule question qui admette un oui ou un non ferme. Si l'outil y survit, regarde d'où vient le moteur : ouvre l'onglet Réseau sur un chargement neuf et observe les domaines, pas les noms de fichiers. Si tout vient du domaine du site lui-même, personne d'extérieur n'a appris ton passage. Si l'outil échoue au test, tu es du côté téléversement, et les questions utiles à poser ensuite sont celles auxquelles le service doit répondre par écrit : combien de temps est-ce conservé, dans quel pays, et existe-t-il un moyen de supprimer tout de suite plutôt que d'attendre la fin du délai.

Une dernière habitude à prendre, quel que soit ton choix : juge l'outil sur ce qu'il fait des fichiers banals, pas des fichiers sensibles. Personne ne décide posément à l'instant d'envoyer un contrat. On utilise ce qu'on a utilisé la fois d'avant.

Questions fréquentes

Le test hors ligne est-il fiable, ou un outil peut-il le tromper ?

Il ne peut pas être trompé dans le sens qui compte. Un outil qui a besoin d'un serveur ne peut pas produire ton fichier converti sans lui — le code n'est tout simplement pas sur ta machine. Le mode d'échec va dans l'autre sens : un outil réellement local peut rater le test si tu coupes avant qu'il ait fini de télécharger son moteur, d'où la consigne de laisser charger et de l'utiliser une fois connecté d'abord. Un outil pourrait aussi travailler localement et envoyer malgré tout une copie ailleurs, ce que le test hors ligne ne verrait pas ; c'est à cela que sert l'onglet Réseau, et c'est la raison d'être de la seconde moitié de la grille.

Si le fichier ne quitte jamais mon navigateur, d'où vient le téléchargement ?

De la page elle-même. L'outil construit le résultat en mémoire et le remet au navigateur sous forme de blob, et le navigateur l'enregistre exactement comme il enregistrerait quelque chose venu d'un serveur — même boîte de dialogue, même dossier de téléchargements. Rien dans le téléchargement n'indique où les octets ont été produits, et c'est précisément pourquoi le test hors ligne est plus instructif que de regarder le fichier arriver.

Les services à téléversement sont-ils donc dangereux ?

Non, et ce serait mal lire cet article que d'en conclure cela. Ils chiffrent en transit, ils suppriment selon un calendrier publié, et les grands sont audités à des normes que la plupart des petits sites n'atteignent jamais. La distinction est qu'ils créent un délai et une juridiction là où il n'y en avait aucun, et il faut savoir qu'on en crée un. Pour la plupart des fichiers c'est un bon arbitrage, et pour une vidéo de deux gigaoctets c'est peut-être le seul praticable.

Un outil dans le navigateur fonctionne-t-il encore si je ferme l'onglet en cours de route ?

Non, et c'est la contrepartie de la garantie. Le travail n'existe qu'à l'intérieur de la page : fermer l'onglet y met fin et il n'y a rien à reprendre — aucune file d'attente sur un serveur ne détient ta tâche. Sur une longue conversion vidéo, garde l'onglet au premier plan : certains navigateurs brident les onglets en arrière-plan au point de ralentir énormément le travail, et un téléphone peut récupérer la mémoire purement et simplement.

Quels fichiers méritent réellement ce niveau de précaution ?

Tout ce qui contient les données personnelles d'autrui, car là ce n'est plus une préférence mais une question de conformité — listes de clients, candidatures, documents médicaux, dossiers scolaires. Ensuite tout ce dont la divulgation te nuirait directement : fiches de paie, relevés bancaires, pièces d'identité, un contrat avant signature, un travail non publié. Pour une carte de restaurant ou une photo de vacances, la réponse sensée est de prendre le plus rapide. La raison de savoir quel outil on utilise, c'est que les habitudes prises sur la carte sont celles qu'on appliquera au contrat.