Le filigrane : ce qu'il protège, et ce qu'il ne protège pas

Il survit parce qu'il est dans les pixels — et c'est toute l'histoire

Tout ce qui rend un filigrane visible utile et tout ce qui le rend coûteux découlent d'un seul fait : il n'est pas attaché à l'image, il fait partie de l'image. Aucun champ à vider, aucun en-tête à retirer, aucun drapeau à baisser. Nous avons testé jusqu'où cela va. Nous avons composité une petite marque dans l'angle inférieur droit d'une photo 1600 × 900 à 60 % d'opacité, puis mesuré la boîte de la marque face à l'original intact après chaque transformation. Dans l'original filigrané, la région diffère de l'original de 17,15 niveaux en moyenne. Après un JPEG en qualité 75 : 18,67. Après une qualité 40 bien plus dure : 20,80. Après réduction de ce même fichier en qualité 40 à 800 × 450 : 22,39.

Le témoin donne le sens de ces nombres. Prends la même photo sans aucun filigrane, encode-la en qualité 75 et mesure le même rectangle : il diffère de l'original de 1,98 niveau — c'est le plancher de bruit de compression. La marque se tient neuf à onze fois au-dessus à chaque étape, et le chiffre monte au lieu de descendre, car chaque passe avec perte ajoute sa propre erreur par-dessus une différence qui n'allait jamais s'estomper. Compare avec les champs invisibles du même fichier. Le JPEG d'origine portait deux marqueurs de métadonnées totalisant 1 344 octets, 0,0239 % du fichier. Nous l'avons chargé dans un canevas de navigateur puis réenregistré — ce qui arrive dès qu'une image traverse un outil web — et les deux marqueurs avaient disparu, remplacés par un en-tête générique et un profil colorimétrique. Pas retirés exprès. Simplement pas transportés.

Le véritable arbitrage : la couverture contre l'intrusion

Une marque d'angle coûte peu au spectateur et se défait à peu de frais. La nôtre occupait une boîte de 300 × 56, en retrait de 40 pixels du bord inférieur droit. À 60 % d'opacité, elle a modifié 4 660 pixels — 0,32 % d'un cadre de 1 440 000 pixels — de 61,84 niveaux en moyenne chacun, et déplacé la moyenne de l'image entière de 0,200 niveau. Monter l'opacité à 100 % n'a élargi cela qu'à 4 907 pixels ; la baisser à 35 % ne l'a réduite qu'à 4 420. L'opacité change le volume sonore de la marque, pas la part d'image qu'elle occupe.

Voilà pourquoi la marque d'angle se défait trivialement. Toute son emprise tient dans les 96 dernières lignes d'une image de 900. Recadre-les et il te reste 1600 × 804 — 89,3 % des pixels — sans compétence d'édition, sans logiciel au-delà de l'application photo d'un téléphone, et sans trace. Toute marque logée dans une marge s'enlève en enlevant la marge, et la plupart des images ont de la marge en réserve.

Une marque en pavage ferme cette porte et en ouvre une pire. La nôtre courait en diagonale sur tout le cadre à 18 % d'opacité — volontairement pâle — et touchait quand même 169 164 pixels, 11,75 % de l'image, 36 fois plus que la marque d'angle. Aucun recadrage ne l'enlève, car aucune partie de l'image n'en est exempte. Mais le coût est désormais payé par tous : l'écart moyen sur l'image entière est passé de 0,200 à 1,844 niveau, et le JPEG est passé de 314 890 à 355 169 octets, car l'encodeur doit maintenant dépenser des bits à décrire un treillis de texte posé sur la photo. Tes clients voient une photo avec de l'écriture dessus, ce qui est exactement ce que tu as fabriqué.

Le retrait, honnêtement

Il faut être exact ici, dans les deux sens. Un filigrane visible n'est pas irretirable, et prétendre le contraire prépare une mauvaise surprise. Le remplissage adapté au contenu et l'inpainting moderne reconstruisent de petites zones marquées à partir de leur voisinage assez bien pour qu'un logo d'angle discret sur un fond doux ressorte proprement — et une marque assez petite pour ne pas gêner tes spectateurs est, par construction, assez petite pour s'y prêter. C'est la symétrie inconfortable de toute la technique : moins elle te coûte, moins elle coûte à un copieur déterminé.

L'autre sens compte tout autant. Le retrait demande une intention, un effort et un outil, et il laisse le copieur en position d'avoir délibérément altéré ton travail plutôt que simplement republié. Cette distinction n'est pas rien. Un filigrane transforme une copie irréfléchie en acte délibéré, il garde ton nom attaché à chaque partage anodin, et il fait porter ton crédit au chemin paresseux — clic droit, enregistrer, republier. Ce sont de vrais bénéfices. Ce sont simplement des bénéfices de friction et d'attribution, non de sécurité. Conçois la marque pour la personne qui t'aurait crédité de toute façon et n'allait jamais te chercher, pas pour celle qui a déjà décidé de voler.

Ce n'est pas pareil : les champs de crédit dans les métadonnées

L'EXIF possède une balise Artist et une balise Copyright. L'IPTC en offre un jeu plus complet — créateur, ligne de crédit, mention de copyright, conditions d'usage — et c'est le standard qu'utilisent réellement les services photo et les banques d'images. Les deux sont invisibles, gratuits, sans coût de qualité d'image, et trivialement perdus. Nous avons mesuré ce que cela signifie en pratique sur une photo de 5,6 Mo : ses deux marqueurs de métadonnées faisaient ensemble 1 344 octets, 0,0239 % du fichier, et un seul passage par un canevas de navigateur les a tous supprimés, sans action ni avertissement de l'utilisateur.

Le crédit dans les métadonnées vaut donc la peine d'être rempli, et vaut zéro comme protection. Utilise-le parce qu'il ne coûte rien, parce que les chaînes de la presse et des banques d'images le lisent, et parce que c'est le seul endroit où consigner des conditions de licence de façon lisible par machine. Ne l'utilise pas comme preuve qu'un fichier est le vôtre, et ne suppose pas qu'une plateforme le conserve — beaucoup effacent les métadonnées à l'envoi par mesure de confidentialité, ce qui est le bon choix pour les données de localisation et un effet de bord pour ton nom. Notre article compagnon sur l'EXIF détaille ce que contient encore ce bloc et comment l'inspecter.

Ce n'est pas pareil non plus : les Content Credentials

Les Content Credentials du C2PA sont un mécanisme réellement différent, et le seul de cette page à formuler une affirmation vérifiable. Un Content Credential est un manifeste signé cryptographiquement — un relevé de qui a produit le contenu, avec quel appareil ou logiciel, et ce qui lui est arrivé depuis — transporté dans le fichier sous forme de boîte JUMBF et lié aux pixels par un hachage. Si un seul pixel change sans nouvelle entrée signée, la validation échoue. Ce n'est pas une marque, c'est de la provenance, et cela répond à une autre question : non pas « est-ce à moi ? » mais « quelle est l'histoire enregistrée de ce fichier ? »

La version en cours est la spécification technique C2PA 2.4, publiée en avril 2026, après la 2.3 en janvier de la même année ; l'architecture progresse aussi à l'ISO sous la référence ISO/DIS 22144, Authenticité de l'information — Content Credentials. L'adoption est désormais réelle plutôt que théorique, chez les fabricants d'appareils, les logiciels de retouche, les outils génératifs et certaines rédactions. C'est important pour la question qui vient toujours ensuite.

La question est : que se passe-t-il si quelqu'un le retire ? Un manifeste reste des métadonnées ; le même canevas de navigateur qui a effacé notre bloc EXIF effacerait un Content Credential. La signature ne peut être falsifiée, mais elle peut être supprimée, et un fichier sans credential ne dit simplement rien plutôt que de dire quelque chose de faux. C'est ce manque que la spécification appelle un Durable Content Credential : un credential associé à un ou plusieurs soft bindings — des valeurs calculées à partir du contenu de l'image plutôt que de ses octets bruts — pour qu'un fichier dépouillé puisse être rapproché de son manifeste dans un dépôt. C'est là que le filigrane invisible et les Content Credentials se rejoignent, et c'est pourquoi on les confond si souvent : l'un est un composant de l'autre.

Et ce n'est pas pareil : le filigrane invisible

Un filigrane invisible ou stéganographique cache une charge utile dans les pixels sous le seuil de perception — répartie sur des coefficients fréquentiels plutôt qu'écrite dans un rectangle. Il possède la propriété de la marque visible, à savoir qu'il est dans les données d'image et survit à un réencodage, sans la propriété qui gâche la marque visible, à savoir que personne n'a à le regarder. C'est une combinaison réellement séduisante, et c'est pourquoi les plateformes et les éditeurs de modèles génératifs l'emploient pour étiqueter leurs sorties.

Le piège est dans le mot « survit ». Un filigrane invisible est conçu pour tolérer un ensemble précis de transformations — compression JPEG modérée, redimensionnement modéré, retouche colorimétrique — et il se dégrade face à tout le reste. Un recadrage sévère supprime la part de charge utile qui vivait dans la zone jetée. La rotation, la recompression agressive, le filtrage lourd et la photographie d'un écran l'attaquent tous. Et contrairement à une marque visible, dont l'échec te saute aux yeux, une marque invisible échoue en silence : le détecteur ne renvoie rien, et rien est indiscernable d'un fichier qui n'a jamais porté de marque. Traite-la comme un signal fort quand elle se déclenche, et comme aucune preuve quand elle ne se déclenche pas.

Que faire, alors, concrètement

Décide contre quoi tu te défends, car les quatre mécanismes défendent contre quatre choses différentes. Si le risque est de ne pas être crédité dans un partage anodin — une pièce de portfolio, un graphique, une photo produit destinée à circuler —, une marque visible discrète convient parfaitement, et 0,32 % du cadre est un prix honnête. Si le risque est qu'un client ou une place de marché perde la trace de l'auteur d'un fichier, remplis les champs IPTC et accepte qu'ils puissent ne pas survivre au trajet. Si la question est de savoir si une image est bien ce qu'elle prétend être, c'est l'affaire des Content Credentials, et rien d'autre dans cette liste n'y répond. S'il te faut tracer les fuites d'un fichier distribué à des destinataires nommés, c'est le filigrane invisible avec une charge utile par destinataire, et c'est un outil de spécialiste.

Et si tu poses une marque visible, pose-la délibérément. Tiens-la hors du sujet et hors de la marge pure — une marque qui chevauche le bord du contenu est plus difficile à recadrer qu'une marque flottant dans un ciel vide, sans pour autant couvrir ce que l'on est venu voir. Garde une opacité assez basse pour que l'image reste lisible : notre marque d'angle à 35 % modifiait encore ses pixels de 38 niveaux en moyenne, ce qui est parfaitement lisible et à peine intrusif. Exporte-la sur une copie et conserve un original non marqué, car tu auras besoin du fichier propre le premier jour où quelqu'un licenciera l'image dans les règles.

Questions fréquentes

Un filigrane empêche-t-il quelqu'un de voler mon image ?

Non, et aucune technique d'image ne le fait. Ce qu'il fait, c'est renchérir la copie irréfléchie et garder ton nom attaché dans les nombreux cas où personne ne voulait nuire. Notre marque d'angle s'enlevait en recadrant 10,7 % de la hauteur par le bas, ce que n'importe qui fait sur un téléphone — mais ce recadrage est un acte délibéré, tout comme effacer la marque par inpainting. Le filigrane achète de la friction et de l'attribution. Tout ce qui est plus fort relève de la licence et de son application, pas des pixels.

Marque d'angle ou marque en pavage ?

L'angle pour tout ce qu'un spectateur est censé apprécier, le pavage seulement pour des aperçus que tu n'as jamais voulu voir utilisés tels quels. Les chiffres tranchent : la marque d'angle a touché 0,32 % du cadre, la marque en pavage 11,75 %, soit 36 fois plus de pixels, faisant passer l'écart moyen de l'image de 0,200 à 1,844 niveau et ajoutant 12,8 % au JPEG. Une marque en pavage, c'est une épreuve. Si tu paves une image de portfolio, tu as publié un portfolio d'images barrées d'écriture.

Mon filigrane survivra-t-il à un envoi sur une plateforme sociale ?

Un filigrane visible, oui. Les plateformes réencodent et redimensionnent agressivement, et c'est précisément ce qu'une marque visible tolère : après un JPEG en qualité 40 et une réduction de moitié, notre marque mesurait encore 22,39 niveaux au-dessus de l'original intact, contre un plancher de bruit de compression de 1,98. Tes métadonnées, elles, ne survivront pas au trajet — beaucoup de plateformes les effacent à l'envoi, surtout pour des raisons de confidentialité — et le crédit que tu croyais transporter a souvent disparu avant le premier partage.

Les Content Credentials sont-elles une sorte de filigrane ?

Non. Un Content Credential est un manifeste de provenance signé, transporté dans le fichier et lié aux pixels par un hachage — il consigne ce qu'est le fichier et ce qui lui a été fait, et tout changement non déclaré fait échouer la validation. Un filigrane n'affirme rien et ne vérifie rien ; c'est une marque. Les deux se rejoignent en un point : la spécification actuelle définit un Durable Content Credential comme un credential associé à des soft bindings, et un filigrane invisible peut en être un, afin qu'un fichier dépouillé soit rapproché de son manifeste. Même là, le filigrane est l'index, pas l'affirmation.

Faut-il filigraner à pleine opacité pour que ce soit incontestable ?

Rarement, car l'opacité achète de la lisibilité, pas de la couverture. Entre 35 % et 100 % d'opacité, notre marque d'angle est passée de 4 420 à 4 907 pixels touchés — environ 11 % de surface en plus — tandis que la variation moyenne par pixel passait de 38,03 à 97,91 niveaux. Autrement dit, tu devènes près de trois fois plus fort pour presque aucune emprise supplémentaire, et une marque facile à recadrer à 100 % l'est tout autant à 35 %. Choisis la plus faible opacité qui reste lisible à la taille où l'image sera vue.