Comment savoir si un PDF a été modifié : 7 étapes de contrôle

On peut souvent savoir si un PDF a été modifié en contrôlant cinq éléments : les propriétés du fichier, le logiciel producteur, le nombre de révisions enregistrées, l'état des signatures numériques et la couche de texte avec ses polices. Aucun de ces contrôles ne prouve qu'un document est authentique. Chacun peut en revanche montrer qu'un fichier a changé après sa production par l'émetteur, et l'ensemble prend une dizaine de minutes.

Ce guide s'adresse à celui qui reçoit le fichier : analyste KYC, gestionnaire locatif, chargé de dossiers de crédit, gestionnaire RH. Il ne suppose aucun outil d'expertise. Quand une commande est utile, la même information est presque toujours disponible dans Acrobat Reader ou dans un navigateur.

Ce qu'un contrôle de modification peut prouver, et ce qu'il ne prouve pas

Un contrôle de modification repère des traces d'altération ; il ne certifie jamais l'authenticité. Le format PDF est défini par la norme ISO 32000-2, qui permet à n'importe quelle application de réécrire un fichier, d'effacer ses métadonnées ou de l'aplatir en images. Un fichier sans trace signifie donc « aucune modification détectée », pas « vérifié ».

Trois issues sont réalistes :

• Traces nettes : un éditeur grand public dans le champ producteur, une date de modification postérieure à la date du document, une signature rompue. Escalade.
• Traces ambiguës : une sauvegarde incrémentale ou un fichier réexporté. De nombreux processus légitimes en produisent. Demandez l'original.
• Aucune trace : un fichier propre, issu d'un producteur attendu. Poursuivez par le recoupement entre documents, car un faussaire soigneux ne laisse rien dans le fichier lui-même.

Les vérificateurs posent sans cesse la même question sur les forums spécialisés : « peut-on vraiment savoir si un PDF a été modifié, ou est-ce au flair ? » La réponse honnête : métadonnées et structure repèrent vite les retouches maladroites, et ratent les retouches soignées. C'est pourquoi la dernière étape compare le contenu plutôt que les propriétés.

Étape 1 : lire les propriétés du fichier

Ouvrez les propriétés du document et comparez la date de création à la date de modification. Dans Adobe Acrobat Reader, Ctrl+D (Cmd+D sur Mac) ; dans un navigateur, le panneau d'informations du document. En terminal, pdfinfo fichier.pdf ou exiftool -a -G1 fichier.pdf affichent les mêmes champs et le bloc XMP.

Un piège attrape les débutants. Les dates des métadonnées indiquent quand le fichier a été produit, pas la date imprimée sur le document. Beaucoup de portails bancaires ou de paie génèrent le PDF au moment du clic sur « télécharger » : un bulletin de mars dont la création date de juin peut être parfaitement normal. Comparez avec les habitudes de l'émetteur, idéalement avec un autre document authentique du même émetteur.

Étape 2 : vérifier le logiciel producteur

Le champ Producer doit correspondre à la façon dont cet émetteur fabrique réellement ses documents. Les éditeurs de paie, les banques et l'administration fiscale utilisent des bibliothèques côté serveur (iText, Apache FOP, Skia/PDF, Adobe PDF Library ou un moteur propriétaire). Un « relevé bancaire » dont le producteur est un éditeur PDF grand public, un site d'édition en ligne ou un traitement de texte est un signal fort.

Combinaisons d'alerte :

• Producteur = éditeur PDF en ligne, alors que l'émetteur n'en utilise jamais.
• Creator = Microsoft Word ou Canva pour un document censé être généré par un système.
• Producteur différent entre le dictionnaire Info et le bloc XMP, ce qui arrive quand un outil ne met à jour que l'un des deux.
• Producer et Creator tous deux vides. Certains outils de confidentialité font cela, tout comme un effacement volontaire.

Le guide sur la manipulation des métadonnées PDF détaille la façon dont ces champs sont falsifiés et la trace que laisse l'effacement.

Étape 3 : compter les révisions

Un PDF enregistré de façon incrémentale conserve la version précédente dans le fichier ; le nombre de marqueurs de fin de fichier indique combien de fois il a été sauvegardé. Le format autorise une application à ajouter les changements après le %%EOF d'origine au lieu de réécrire le fichier (ISO 32000-2, section 7.5.6).

En terminal, grep -a -c '%%EOF' fichier.pdf donne le nombre. Un marqueur : une seule écriture. Deux : normal pour un fichier « linéarisé » optimisé pour le web. Trois ou plus : au moins une mise à jour incrémentale, et une bibliothèque comme qpdf ou pdf.js peut extraire chaque révision antérieure pour lire ce que le document disait avant.

Une mise à jour incrémentale ne prouve pas la fraude : formulaires remplis, contrats contresignés, fichiers annotés en produisent. Le test est la cohérence : un bail signé avec les paraphes du locataire ajoutés est normal ; un bulletin de paie à trois révisions ne ressemble à rien de ce que fait un logiciel de paie.

Étape 4 : valider chaque signature numérique

Une signature valide scelle le fichier ; une signature rompue prouve qu'il a changé après la signature. Ouvrez le panneau des signatures dans Acrobat Reader. Une coche verte indique que le document n'a pas été modifié depuis la signature et que la chaîne de certificats est de confiance. « Le document a été modifié ou endommagé depuis sa signature » est la preuve de modification la plus nette qui existe.

En Europe, les signatures et cachets électroniques relèvent du règlement (UE) n° 910/2014 (eIDAS), modifié par le règlement (UE) 2024/1183. Les signatures qualifiées bénéficient d'une présomption d'intégrité. Pour un avis indépendant de votre lecteur PDF, la Commission européenne propose un outil gratuit de validation DSS.

Deux précautions. Un panneau « validité de la signature inconnue » signifie en général que le lecteur ne dispose pas de la liste de confiance, pas que le fichier est mauvais. Et un document sans signature n'apprend rien : la plupart des bulletins et relevés ne sont jamais signés.

Étape 5 : tester la couche de texte et les polices

Sélectionnez tout le texte (Ctrl+A) et observez ce qui s'illumine. Sur un PDF généré par un système, le texte forme des blocs propres et alignés. Sur un PDF retouché, on voit souvent un chiffre modifié surligné dans un cadre séparé, décalé d'un pixel par rapport à la ligne de base, ou un texte impossible à sélectionner car collé sous forme d'image.

Ouvrez ensuite la liste des polices (Propriétés du document, onglet Polices, ou pdffonts fichier.pdf) :

• Deux sous-ensembles de la même police (ABCDEF+Arial et GHIJKL+Arial) signalent souvent qu'une partie de la page a été retapée avec un autre outil.
• Une police qui n'apparaît que sur les montants (salaire, solde, loyer) est le schéma classique.
• Aucun texte, une seule grande image, signifie que la page a été imprimée ou capturée puis réemballée, ce qui supprime les indices exploités ici.

Copiez aussi le texte dans un éditeur simple : couches de texte cachées, caractères blancs sur blanc et texte hors page y apparaissent. Voir le texte invisible dans les PDF et l'analyse typographique.

Étape 6 : zoomer sur le visuel

Zoomez à 400 % sur logos, tampons, chiffres et bordures de tableaux. Un logo vectoriel reste net ; un logo flou alors que le texte voisin est net a été collé comme image matricielle. Cherchez un crénelage différent autour des chiffres, un espacement irrégulier dans des montants alignés à droite, un gris différent dans une ligne de tableau.

Pour une page scannée ou photographiée, l'analyse du niveau d'erreur (ELA) apporte un signal supplémentaire, mais génère des faux positifs sur les scans très compressés. C'est une piste de questions, pas un verdict.

Étape 7 : recouper le contenu

Comparez chiffres et identifiants avec une source que le candidat ne contrôle pas. C'est l'étape qui fonctionne encore quand le fichier est propre : un faussaire qui efface les métadonnées et harmonise les polices doit encore rendre ses chiffres cohérents avec tous les autres documents du dossier.

Le calcul est le test le moins cher : refaites l'addition des lignes d'un relevé, solde initial plus crédits moins débits égale solde final. Les montants retouchés résistent rarement.

Pour les assujettis à la LCB-FT, l'article L. 561-5 du Code monétaire et financier impose d'identifier le client et de vérifier son identité sur présentation de documents probants, d'où l'impossibilité de s'arrêter à « ça a l'air correct ». Les lignes directrices de l'ACPR précisent les attentes de supervision.

Outils gratuits ou contrôle automatisé

Les outils gratuits conviennent pour un fichier occasionnel, mais ne téléversez pas de documents clients sur un site quelconque. Envoyer pièces d'identité et documents financiers vers un « vérificateur de PDF » inconnu est un transfert de données personnelles ; le RGPD impose de savoir où vont ces données et à quelles conditions, et la CNIL le rappelle régulièrement. Préférez des outils locaux (Acrobat Reader, pdfinfo, exiftool, qpdf) ou un sous-traitant lié par un contrat.

À volume élevé, le manuel ne tient plus. Une validation automatisée applique les mêmes tests de propriétés, de structure et de cohérence à chaque fichier et ne renvoie vers un humain que les cas atypiques. Les signaux de génération par IA et de falsification de CheckFile complètent vos contrôles existants sans remplacer le jugement du vérificateur. Pour la complétude du dossier et la cohérence entre documents, la solution banque et KYC décrit ce qui est comparé (champs, dates, registres), et la page tarifs détaille les offres.

Modification légitime ou à escalader

Tous les PDF modifiés ne sont pas frauduleux. Les candidats fusionnent des pages, compressent pour respecter une limite de téléversement, masquent un numéro de compte ou remplissent un formulaire. Demandez l'original et une explication avant de supposer la mauvaise foi, et consignez ce qui vous a été remis.

Escaladez quand une trace s'ajoute à un écart : producteur inattendu plus chiffre qui ne se réconcilie pas, ou signature rompue sur un document présenté comme original. Le faux et l'usage de faux sont punis par l'article 441-1 du Code pénal de trois ans d'emprisonnement et 45 000 euros d'amende. La suite relève du responsable conformité ou du correspondant Tracfin, pas du vérificateur de premier niveau.

Pour le processus global, voir le guide de vérification des documents.

Questions fréquemment posées

Peut-on savoir si un PDF a été modifié ?

Souvent oui, mais pas toujours. Métadonnées, nombre de révisions, signatures et polices révèlent les retouches maladroites en quelques minutes. Un faussaire soigneux qui réimprime en PDF ou reconstruit le fichier laisse peu de traces : il faut alors recouper le contenu avec d'autres documents.

Ouvrir puis enregistrer un PDF le modifie-t-il ?

L'enregistrement dans la plupart des éditeurs met à jour la date de modification et le producteur, et peut ajouter une révision. La simple ouverture ne change pas le fichier. Une date de modification postérieure à la création invite donc à poser des questions, sans prouver une fraude.

Existe-t-il un outil gratuit en ligne pour vérifier un PDF ?

Plusieurs existent, mais y téléverser des documents clients est un risque RGPD. Utilisez des outils locaux pour les métadonnées et la structure, et un service en ligne seulement sous contrat de sous-traitance ou pour des fichiers de test sans donnée personnelle.

Une IA peut-elle détecter qu'un PDF a été modifié ?

Des systèmes automatisés comparent métadonnées, structure, polices et artefacts d'image à grande échelle, et signalent des combinaisons qu'un humain manquerait. Ils produisent des signaux, pas une certitude, et la décision finale reste au vérificateur.

Que faire si le PDF n'a aucune métadonnée ?

L'absence de métadonnées est un indice, pas un verdict. Certains outils de confidentialité les effacent, tout comme les impressions vers PDF. Demandez l'original depuis le portail de l'émetteur et comparez-le à un document que cet émetteur produit habituellement.