Comment savoir si un PDF a été modifié : 7 étapes (Belgique)

On peut souvent savoir si un PDF a été modifié en contrôlant cinq éléments : les propriétés du fichier, le logiciel producteur, le nombre de révisions enregistrées, l'état des signatures numériques et la couche de texte avec ses polices. Aucun ne prouve qu'une fiche de paie ou un extrait de compte est authentique. Chacun peut en revanche montrer que le fichier a changé après sa production par l'émetteur, et l'ensemble prend une dizaine de minutes.

Ce guide s'adresse à la personne qui reçoit le fichier : analyste crédit dans une banque, gestionnaire d'un bien locatif, responsable RH, employé d'un cabinet de courtage. Il ne suppose aucun outil d'expertise. Quand une commande est utile, Adobe Acrobat Reader (gratuit) affiche presque toujours la même information.

Ce qu'un contrôle de modification peut prouver, et ce qu'il ne prouve pas

Un contrôle de modification repère des traces d'altération ; il ne certifie jamais l'authenticité. Le format PDF est défini par la norme ISO 32000-2, qui permet à toute application de réécrire un fichier, d'effacer ses métadonnées ou de l'aplatir en images. Un fichier sans trace signifie « aucune modification détectée », pas « vérifié ».

Trois issues sont réalistes :

• Traces nettes : un éditeur grand public dans le champ producteur, une date de modification postérieure à la date du document, une signature rompue. Escalader.
• Traces ambiguës : une sauvegarde incrémentale ou un fichier réexporté. De nombreux processus légitimes en produisent. Demander l'original.
• Aucune trace : un fichier propre d'un producteur attendu. Passer au recoupement avec des sources externes, car un faussaire soigneux ne laisse rien dans le fichier.

Sur les forums spécialisés, la question revient : « peut-on vraiment savoir si un PDF a été modifié, ou est-ce au flair ? » Les métadonnées et la structure repèrent vite les retouches maladroites et ratent les retouches soignées. C'est pourquoi l'étape 7 compare le contenu à des sources que le demandeur ne contrôle pas, comme l'avertissement-extrait de rôle du SPF Finances ou la Banque-Carrefour des Entreprises.

Étape 1 : lire les propriétés du fichier

Ouvrez les propriétés du document et comparez la date de création à la date de modification. Dans Acrobat Reader, Ctrl+D (Cmd+D sur Mac). En terminal, pdfinfo fichier.pdf ou exiftool -a -G1 fichier.pdf affichent les mêmes champs et le bloc XMP.

Un piège attrape les débutants. Les dates des métadonnées indiquent quand le fichier a été produit, pas la date imprimée sur le document. Les portails des secrétariats sociaux et des banques génèrent souvent le PDF au moment du clic sur « télécharger » : une fiche de paie de mars dont la création date de juin peut être tout à fait normale. Comparez avec un autre document authentique du même émetteur.

Étape 2 : vérifier le logiciel producteur

Le champ Producer doit correspondre à la manière dont cet émetteur produit réellement ses documents. Banques, secrétariats sociaux et administrations utilisent des moteurs côté serveur. Un « extrait de compte » dont le producteur est un éditeur PDF grand public, un site d'édition en ligne ou un traitement de texte est un signal fort.

Combinaisons d'alerte :

• Producteur = éditeur PDF en ligne, alors que l'émetteur n'en utilise jamais.
• Creator = Microsoft Word ou Canva pour un document censé être généré par un système.
• Producteur différent entre le dictionnaire Info et le bloc XMP, ce qui arrive quand un outil ne met à jour que l'un des deux.
• Producer et Creator tous deux vides. Certains outils de confidentialité le font, tout comme un effacement volontaire.

Le guide sur la manipulation des métadonnées PDF explique comment ces champs sont falsifiés et ce que l'effacement laisse derrière lui.

Étape 3 : compter les révisions

Un PDF enregistré de façon incrémentale conserve la version précédente dans le fichier ; le nombre de marqueurs de fin de fichier indique combien de fois il a été sauvegardé. Le format permet d'ajouter les changements après le %%EOF d'origine plutôt que de tout réécrire (ISO 32000-2, section 7.5.6).

En terminal, grep -a -c '%%EOF' fichier.pdf donne le nombre. Un marqueur : une seule écriture. Deux : normal pour un fichier « linéarisé » conçu pour un affichage web rapide. Trois ou plus : au moins une mise à jour incrémentale, et une bibliothèque comme qpdf ou pdf.js peut extraire chaque révision antérieure pour lire ce que le document disait avant.

Une mise à jour incrémentale ne prouve pas la fraude : formulaires remplis, contrats de bail contresignés et fichiers annotés en produisent. Demandez-vous si elle a du sens. Un bail auquel on ajoute les paraphes du locataire est normal ; une fiche de paie à trois révisions ne ressemble à rien de ce que fait un secrétariat social.

Étape 4 : valider chaque signature numérique

Une signature valide scelle le fichier ; une signature rompue prouve qu'il a changé après la signature. Ouvrez le panneau des signatures dans Acrobat Reader. Une coche verte indique que le document n'a pas été modifié depuis la signature et que la chaîne de certificats est de confiance. « Le document a été modifié ou endommagé depuis sa signature » est la preuve de modification la plus nette qui soit.

En Belgique comme dans toute l'Union, les signatures et cachets électroniques relèvent du règlement (UE) n° 910/2014 (eIDAS), modifié par le règlement (UE) 2024/1183. Les signatures qualifiées, notamment celles réalisées avec la carte d'identité électronique (eID) ou l'application itsme, bénéficient d'une présomption d'intégrité. Pour un avis indépendant de votre lecteur, la Commission européenne propose un outil gratuit de validation DSS.

Un message « validité de la signature inconnue » signifie en général que le lecteur n'a pas la liste de confiance, pas que le fichier est mauvais. Et la plupart des fiches de paie et extraits de compte ne sont jamais signés : l'absence de signature n'apprend rien.

Étape 5 : tester la couche de texte et les polices

Sélectionnez tout le texte (Ctrl+A) et observez ce qui s'éclaire. Un PDF produit par un système montre des blocs propres et alignés. Un PDF retouché montre souvent un chiffre modifié dans une zone séparée, décalé d'un pixel de la ligne de base, ou un texte impossible à sélectionner parce qu'il a été collé comme image.

Ouvrez ensuite la liste des polices (Propriétés du document, onglet Polices, ou pdffonts fichier.pdf) :

• Deux sous-ensembles de la même police (ABCDEF+Arial et GHIJKL+Arial) indiquent souvent qu'une partie de la page a été retapée avec un autre outil.
• Une police qui n'apparaît que sur les montants (salaire brut, solde, loyer) est le schéma classique.
• Aucun texte, une seule grande image, signifie que la page a été imprimée ou capturée puis réemballée, ce qui supprime les indices exploités ici.

Copiez aussi le texte dans un éditeur simple : couches de texte cachées, caractères blancs sur blanc et texte hors page y apparaissent. Voir le texte invisible dans les PDF et l'analyse typographique.

Étape 6 : zoomer sur le visuel

Zoomez à 400 % sur les logos, cachets, chiffres et bordures de tableaux. Un logo vectoriel reste net ; un logo qui devient flou pendant que le texte voisin reste net a été collé comme image matricielle. Repérez un crénelage différent autour des chiffres, un espacement irrégulier dans les montants alignés à droite et un gris différent dans une ligne de tableau.

Pour les pages scannées ou photographiées, l'analyse du niveau d'erreur (ELA) apporte un signal, mais produit des faux positifs sur les images très compressées. Elle sert à poser des questions, pas à trancher.

Étape 7 : recouper avec des sources que le demandeur ne contrôle pas

Comparez chiffres et identifiants avec des données de tiers. Cette étape fonctionne encore quand le fichier est propre : un faussaire qui efface les métadonnées et harmonise les polices doit tout de même rendre ses chiffres cohérents avec le reste du dossier.

Le demandeur peut télécharger son propre avertissement-extrait de rôle et ses fiches fiscales depuis MyMinfin, le portail du SPF Finances. Le calcul reste le test le moins coûteux : refaites l'addition des lignes de l'extrait, solde initial plus crédits moins débits égale solde final.

Les entités assujetties à la loi du 18 septembre 2017 relative à la prévention du blanchiment de capitaux et du financement du terrorisme doivent identifier leurs clients et vérifier leur identité sur la base de documents probants. La BNB contrôle les établissements de crédit et d'assurance à cet égard, la FSMA d'autres établissements financiers, et la CTIF-CFI reçoit les déclarations de soupçon. La vérification ne peut donc pas s'arrêter à « ça a l'air correct ».

Outils gratuits ou contrôle automatisé

Les outils gratuits conviennent pour un fichier occasionnel, mais ne téléversez pas de documents de clients sur un site quelconque. Envoyer pièces d'identité et documents financiers vers un « vérificateur de PDF » inconnu est un transfert de données personnelles : le RGPD impose de savoir où elles vont et à quelles conditions, et l'Autorité de protection des données le rappelle régulièrement. Privilégiez des outils locaux (Acrobat Reader, pdfinfo, exiftool, qpdf) ou un sous-traitant lié par contrat.

À grand volume, le manuel ne suit plus. Une validation automatisée applique les mêmes tests de propriétés, de structure et de cohérence à chaque fichier et ne renvoie vers une personne que les cas atypiques. Les signaux de génération par IA et de falsification de CheckFile complètent vos contrôles existants sans remplacer le jugement du vérificateur. Pour la complétude du dossier et la cohérence entre documents, la solution banque et KYC décrit ce qui est comparé (champs, dates, registres), et la page tarifs détaille les offres.

Modification légitime ou à escalader

Tous les PDF modifiés ne sont pas frauduleux. Les demandeurs fusionnent des pages, compressent pour respecter une limite de téléversement, masquent un numéro de compte ou remplissent un formulaire. Demandez l'original et une explication avant de présumer la mauvaise foi, et consignez ce qui vous a été remis.

Escaladez quand une trace s'ajoute à un écart : producteur inattendu plus un revenu qui ne correspond pas à l'avertissement-extrait de rôle, ou signature rompue sur un document présenté comme l'original. Le faux en écritures est réprimé par les articles 193 à 197 du Code pénal belge, jusqu'à dix ans de réclusion pour les écritures de commerce, de banque ou privées (article 196), et le faux en informatique par l'article 210bis. Le texte des lois est consultable sur le site Justel du SPF Justice. La déclaration à la CTIF-CFI revient au responsable de la conformité, pas au vérificateur de première ligne.

Pour le processus global, voir le guide de vérification des documents.

Questions fréquemment posées

Peut-on savoir si un PDF a été modifié ?

Souvent oui, mais pas toujours. Métadonnées, nombre de révisions, signatures et polices révèlent les retouches maladroites en quelques minutes. Un faussaire soigneux qui réimprime en PDF ou reconstruit le fichier laisse peu de traces : il faut alors recouper le contenu avec le SPF Finances, l'employeur ou d'autres documents.

Ouvrir puis enregistrer un PDF le modifie-t-il ?

L'enregistrement dans la plupart des éditeurs met à jour la date de modification et le producteur, et peut ajouter une révision. La simple ouverture ne change pas le fichier. Une date de modification postérieure à la création invite à poser des questions, sans prouver une fraude.

Existe-t-il un outil gratuit en ligne pour vérifier un PDF ?

Plusieurs existent, mais y téléverser des documents de clients est un risque RGPD. Utilisez des outils locaux pour les métadonnées et la structure, et un service en ligne seulement sous contrat de sous-traitance ou pour des fichiers de test sans donnée personnelle.

Une IA peut-elle détecter qu'un PDF a été modifié ?

Des systèmes automatisés comparent métadonnées, structure, polices et artefacts d'image à grande échelle, et signalent des combinaisons qu'un humain manquerait. Ils produisent des signaux, pas une certitude, et la décision finale reste au vérificateur.

Que faire si le PDF n'a aucune métadonnée ?

L'absence de métadonnées est un indice, pas un verdict. Certains outils de confidentialité les effacent, tout comme l'impression vers PDF. Demandez l'original depuis le portail de l'émetteur et comparez-le à un document que cet émetteur produit habituellement.