Éditeurs PDF en ligne : les traces dans un document modifié

Un éditeur PDF en ligne réécrit presque toujours le fichier entier au lieu de le corriger sur place, et cette réécriture laisse des traces : un champ « Producteur » modifié, une nouvelle date de modification, un identifiant de fichier régénéré, des polices ré-intégrées et, si l'original était signé, une signature rompue ou absente. Aucune de ces traces ne prouve une fraude. Ensemble, elles montrent qu'un outil web a traité le document après sa production par l'émetteur, ce qu'un analyste doit savoir avant de s'y fier.

Cet article s'adresse à celui qui reçoit le fichier : analyste de la conformité d'une institution financière, courtier immobilier, conseiller en ressources humaines, agent de prêt hypothécaire. Il décrit ce que les éditeurs web modifient, où le voir, et pourquoi l'absence de traces ne prouve rien.

Pourquoi un éditeur web ne laisse pas les mêmes traces qu'un logiciel de bureau

Un éditeur en ligne régénère généralement le document côté serveur : le résultat est un nouveau fichier, pas une copie modifiée. Le format PDF, défini par la norme ISO 32000-2, permet deux méthodes : ajouter une mise à jour incrémentale après le marqueur de fin d'origine, ou écrire un fichier complet. Les logiciels de bureau ajoutent souvent ; beaucoup de services web reconstruisent, fusionnent, compressent et enregistrent en une passe.

Compter les marqueurs %%EOF pour retrouver les révisions fonctionne sur un fichier enregistré de façon incrémentale, mal sur un fichier passé par un service web. Une seule révision ne signifie pas « intact ».

Les sept traces à rechercher

Les traces les plus fiables se trouvent dans les champs de producteur, l'identifiant du fichier, la liste des polices, la structure des objets et l'état de la signature. Contrôlez-les dans cet ordre.

1. Les champs Producteur et Créateur

Le champ Producteur indique le logiciel qui a écrit le fichier final ; Créateur, l'application qui a produit la source. Un relevé de compte téléchargé depuis le portail d'une institution financière nomme normalement le moteur d'édition de cette dernière. Si le même relevé mentionne un éditeur web généraliste ou une bibliothèque PDF sans rapport, le fichier est passé par un second outil. Lancez exiftool -a -G1 fichier.pdf ou ouvrez les propriétés du document (Ctrl+D dans Acrobat Reader).

Constituez votre propre référentiel : prenez un document authentique de chaque émetteur fréquent (fournisseur de paie, caisse ou banque, Hydro-Québec), notez sa chaîne de producteur et comparez-y les fichiers entrants. N'utilisez pas une liste publique de « mauvaises » valeurs : les services changent de bibliothèque, et la PDF Association rappelle que la clé Producer est dépréciée dans l'ISO 32000-2 et que les métadonnées sont facultatives et facilement modifiables (présentation PDF Association sur la criminalistique PDF).

2. Dates de création et de modification

Une date de modification postérieure de quelques heures ou jours à la création indique un réenregistrement. Une date de modification postérieure à la date imprimée sur le document, par exemple un talon de paie de septembre modifié en octobre, mérite une question. Des horodatages identiques sont fréquents pour un fichier produit en une passe et ne rassurent pas à eux seuls.

3. Identifiant du fichier et identifiants XMP

Le trailer d'un PDF peut contenir un tableau /ID de deux chaînes : la première est fixée à la création, la seconde change à chaque enregistrement. Les métadonnées XMP ajoutent DocumentID et InstanceID. Quand une réécriture régénère les deux, le lien avec l'original de l'émetteur disparaît ; la comparaison n'est possible que si vous détenez une copie authentique.

4. Polices et objets texte

Un texte modifié utilise souvent un sous-ensemble de police différent de celui du texte voisin. Les sous-ensembles intégrés portent un préfixe de six lettres (par exemple ABCDEF+Arial). Une page qui mélange deux sous-ensembles de la même famille, ou un montant affiché dans une police de secours, indique souvent qu'une valeur a été remplacée. Sélectionnez le chiffre suspect dans un lecteur : un texte modifié se trouve fréquemment dans son propre bloc, avec un espacement différent.

5. Recouvrements, rectangles blancs et annotations aplaties

Certains outils web ne modifient pas le texte sous-jacent. Ils dessinent un rectangle blanc sur l'ancienne valeur et posent le nouveau texte dessus, ou « aplatissent » les annotations dans la page. Copiez tout le texte dans un éditeur de texte brut : valeurs d'origine masquées, texte hors de la page et doublons de chiffres apparaissent. Voir le texte invisible dans les PDF.

6. État de la signature numérique

Un PDF signé par l'émetteur porte une signature cryptographique sur une plage d'octets définie. Toute modification la rompt, et une réécriture complète par un éditeur web supprime couramment le champ de signature. Un document présenté comme « l'original signé » sans signature, ou avec une signature rompue, justifie de demander l'original à l'émetteur.

7. Compression, résolution et filigranes

Les offres gratuites de certains services ajoutent un filigrane ou un pied de page, et la compression réduit la résolution des images ou change l'espace colorimétrique. Un logo net sur la copie authentique et flou sur le fichier reçu trahit un ré-encodage. C'est un indice complémentaire : les demandeurs compressent aussi leurs fichiers pour respecter la limite de téléversement d'un portail.

Ce que ces traces ne disent pas

Les traces montrent qu'un fichier a été traité, pas pourquoi, et elles peuvent être effacées. Les métadonnées se réécrivent avec des outils gratuits ; un guide de TrueScreen décrit des outils en ligne qui permettent de réécrire directement le producteur, le titre et les dates (TrueScreen sur la modification des métadonnées PDF). Imprimer en PDF ou rastériser une page puis la ré-encapsuler efface la plupart des indices de structure. Des travaux de recherche identifient l'outil producteur à partir du style de codage interne plutôt que des métadonnées, justement parce que celles-ci sont peu fiables (Robust PDF Files Forensics Using Coding Style).

Trois issues sont réalistes :

• Traces nettes : producteur inattendu, identifiant modifié et police incohérente. Demandez l'original à l'émetteur.
• Traces ambiguës : fichier réécrit mais propre. Beaucoup de demandeurs honnêtes fusionnent, compressent ou font pivoter des pages. Demandez pourquoi.
• Aucune trace : poursuivez par les contrôles entre documents, car un faussaire soigneux ne laisse rien dans le fichier.

Ce que les analystes demandent vraiment

Sur les forums de conformité et d'immobilier, deux questions reviennent sans cesse.

« Mon client dit avoir seulement compressé le PDF. Est-ce crédible ? »

Cela peut l'être. Compresser ou fusionner change le producteur, l'identifiant et souvent le nombre de révisions, mais ne doit ni changer les polices du texte, ni déplacer des montants, ni altérer des valeurs. Si les seules différences sont le producteur, les dates et la qualité d'image, et que le contenu concorde avec les autres pièces, traitez-le comme un réenregistrement bénin et consignez-le au dossier.

« Peut-on passer un document suspect dans un vérificateur gratuit en ligne ? »

Pas sans réflexion. Le fichier contient des renseignements personnels, et l'envoyer à un service tiers, souvent hébergé hors Québec, déclenche des obligations. La Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) exige notamment une évaluation des facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l'extérieur du Québec, et la Commission d'accès à l'information du Québec publie des guides à ce sujet. Hors Québec, la LPRPDE impose à l'organisation de rester responsable des renseignements confiés à un fournisseur. Utilisez des outils locaux pour les métadonnées, et un service externe seulement sous contrat écrit.

Une procédure courte à adopter

1. Consignez producteur, créateur, dates et identifiant de chaque PDF reçu dans le dossier.
2. Comparez avec une référence authentique du même émetteur.
3. Sélectionnez et copiez les valeurs clés (nom, montant, date, numéro de compte) et vérifiez la cohérence des polices et des blocs de texte.
4. Vérifiez l'état de la signature lorsque l'émetteur signe habituellement.
5. Rapprochez les montants des autres pièces : talon de paie et relevé bancaire, relevé et avis de cotisation de Revenu Québec ou de l'Agence du revenu du Canada.
6. Remontez les écarts à la personne responsable de la conformité.

Le rapprochement entre documents est l'étape décisive. Le guide de vérification de documents montre comment les contrôles s'articulent, notre article sur comment savoir si un PDF a été modifié détaille la structure des révisions, et celui sur la détection des métadonnées PDF falsifiées explique comment l'effacement laisse lui-même une empreinte.

Cadre juridique et réglementaire au Canada et au Québec

Utiliser un faux document est une infraction criminelle au Canada, et les entités déclarantes doivent pouvoir démontrer comment elles ont vérifié l'identité et les pièces sur lesquelles elles s'appuient. L'article 366 du Code criminel définit le faux, notamment le fait de fabriquer un faux document en sachant qu'il est faux dans l'intention qu'il soit employé comme authentique, et l'article 368 vise l'emploi d'un document contrefait. Ces actes criminels sont passibles d'un emprisonnement maximal de dix ans.

Pour les entités déclarantes assujetties à la Loi sur le recyclage des produits de la criminalité et le financement des activités terroristes, CANAFE fixe les méthodes de vérification de l'identité, dont la pièce d'identité avec photo émise par un gouvernement, le dossier de crédit et le processus double. Lorsqu'une entité a des motifs raisonnables de soupçonner qu'une opération est liée à une infraction de recyclage ou de financement du terrorisme, elle doit soumettre une déclaration d'opération douteuse. Au Québec, l'Autorité des marchés financiers encadre les assureurs, les cabinets de courtage et les institutions de dépôt à charte provinciale, et attend des contrôles adéquats des processus de demande.

Un dossier accepté malgré des traces d'édition inexpliquées est difficile à défendre lors d'une inspection ; un dossier où l'analyste a noté les traces, demandé l'original et documenté l'issue l'est beaucoup moins. L'analyste de première ligne ne décide pas d'une déclaration : la personne responsable de la conformité s'en charge.

Traiter ces contrôles à volume

L'inspection manuelle prend quelques minutes par fichier et dépend de la personne. Des contrôles automatisés appliquent les mêmes tests de propriétés, de structure et de cohérence à chaque dépôt et n'envoient à un humain que les fichiers atypiques. Les signaux de génération IA et de falsification de CheckFile complètent vos contrôles existants sans remplacer le jugement de l'analyste. Pour la complétude des dossiers et la comparaison des champs et des dates entre documents, voyez la solution banque et KYC, la page sécurité pour le traitement des fichiers et les tarifs.

Questions fréquemment posées

Les éditeurs PDF en ligne laissent-ils des traces ?

Oui. La plupart modifient le champ producteur ou créateur, mettent à jour la date de modification, régénèrent l'identifiant du fichier et réécrivent la structure des objets. Certains ré-intègrent des polices ou suppriment les signatures numériques. Ces traces peuvent être effacées ensuite, leur absence ne prouve donc pas que le fichier est intact.

Peut-on savoir quel éditeur en ligne a été utilisé ?

Parfois. La chaîne de producteur nomme souvent le service ou sa bibliothèque, et le style de codage peut orienter. C'est une piste, pas une certitude, car les valeurs peuvent être écrasées et les services changent de logiciel.

Une seule révision signifie-t-elle que le PDF n'a pas été modifié ?

Non. Beaucoup d'éditeurs web réécrivent tout le fichier, ce qui ramène le nombre de révisions à un. Un producteur inattendu associé à un nouvel identifiant est plus parlant que le nombre de révisions.

Un PDF sans métadonnées est-il suspect ?

C'est un signal, pas un verdict. Des outils de confidentialité, l'impression en PDF et certains portails suppriment les métadonnées. Demandez l'original à l'émetteur et comparez-le à un document authentique connu.

Une pièce modifiée doit-elle être déclarée à CANAFE ?

Pas automatiquement. Une déclaration d'opération douteuse dépend de motifs raisonnables de soupçonner un lien avec le recyclage des produits de la criminalité ou le financement du terrorisme. Consignez les traces et remontez-les à la personne responsable de la conformité, qui évalue la suite.