Éditeurs PDF en ligne : les traces dans un document modifié

Un éditeur PDF en ligne réécrit presque toujours le fichier entier au lieu de le corriger sur place, et cette réécriture laisse des traces : un champ « Producteur » modifié, une nouvelle date de modification, un identifiant de fichier régénéré, des polices ré-intégrées et, si l'original était signé, une signature rompue ou absente. Aucune de ces traces ne prouve une fraude. Ensemble, elles montrent qu'un outil web a traité le document après sa production par l'émetteur, ce qu'un contrôleur doit savoir avant de s'y fier.

Cet article s'adresse à celui qui reçoit le fichier : analyste KYC, agent immobilier, chargé de recrutement, gestionnaire de dossiers de crédit. Il décrit ce que les éditeurs web modifient, où le voir, et pourquoi l'absence de traces ne prouve rien.

Pourquoi un éditeur web ne laisse pas les mêmes traces qu'un logiciel de bureau

Un éditeur en ligne régénère généralement le document côté serveur : le résultat est un nouveau fichier, pas une copie modifiée. Le format PDF, défini par la norme ISO 32000-2, permet deux méthodes : ajouter une mise à jour incrémentale après le marqueur de fin d'origine, ou écrire un fichier complet. Les logiciels de bureau ajoutent souvent ; beaucoup de services web reconstruisent, fusionnent, compressent et enregistrent en une passe.

Conséquence pratique : compter les marqueurs %%EOF pour retrouver les révisions fonctionne bien sur un fichier enregistré de façon incrémentale, mal sur un fichier passé par un service web. Une seule révision ne signifie pas « intact ».

Les sept traces à rechercher

Les traces les plus fiables se trouvent dans les champs de producteur, l'identifiant du fichier, la liste des polices, la structure des objets et l'état de la signature. Contrôlez-les dans cet ordre.

1. Les champs Producteur et Créateur

Le champ Producteur indique le logiciel qui a écrit le fichier final ; Créateur, l'application qui a produit la source. Un relevé bancaire exporté depuis l'espace client d'une banque nomme normalement le moteur d'édition de la banque. Si le même relevé mentionne un éditeur web généraliste ou une bibliothèque PDF sans rapport, le fichier est passé par un second outil. Lancez exiftool -a -G1 fichier.pdf ou ouvrez les propriétés du document (Ctrl+D dans Acrobat Reader).

Constituez votre propre référentiel : prenez un document authentique de chaque émetteur fréquent, notez sa chaîne de producteur et comparez-y les fichiers entrants. N'utilisez pas une liste publique de « mauvaises » valeurs : les services changent de bibliothèque, et la PDF Association rappelle que la clé Producer est dépréciée dans l'ISO 32000-2 et que les métadonnées sont facultatives et facilement modifiables (présentation PDF Association sur la criminalistique PDF).

2. Dates de création et de modification

Une date de modification postérieure de quelques heures ou jours à la création indique un réenregistrement. Une date de modification postérieure à la date imprimée sur le document, par exemple un bulletin de paie de septembre modifié en octobre, mérite une question. Des horodatages identiques sont fréquents pour un fichier produit en une passe et ne rassurent pas à eux seuls.

3. Identifiant du fichier et identifiants XMP

Le trailer d'un PDF peut contenir un tableau /ID de deux chaînes : la première est fixée à la création, la seconde change à chaque enregistrement. Les métadonnées XMP ajoutent DocumentID et InstanceID. Quand une réécriture régénère les deux, le lien avec l'original de l'émetteur disparaît ; la comparaison n'est possible que si vous détenez une copie authentique.

4. Polices et objets texte

Un texte modifié utilise souvent un sous-ensemble de police différent de celui du texte voisin. Les sous-ensembles intégrés portent un préfixe de six lettres (par exemple ABCDEF+Arial). Une page qui mélange deux sous-ensembles de la même famille, ou un montant affiché dans une police de secours, indique souvent qu'une valeur a été remplacée. Sélectionnez le chiffre suspect dans un lecteur : un texte modifié se trouve fréquemment dans son propre bloc, avec un espacement différent.

5. Recouvrements, rectangles blancs et annotations aplaties

Certains outils web ne modifient pas le texte sous-jacent. Ils dessinent un rectangle blanc sur l'ancienne valeur et posent le nouveau texte dessus, ou « aplatissent » les annotations dans la page. Copiez tout le texte dans un éditeur de texte brut : valeurs d'origine masquées, texte hors de la page et doublons de chiffres apparaissent. Voir le texte invisible dans les PDF.

6. État de la signature numérique

Un PDF signé par l'émetteur porte une signature cryptographique sur une plage d'octets définie. Toute modification la rompt, et une réécriture complète par un éditeur web supprime couramment le champ de signature. Un document présenté comme « l'original signé » sans signature, ou avec une signature rompue, justifie de demander l'original à l'émetteur.

7. Compression, résolution et filigranes

Les offres gratuites de certains services ajoutent un filigrane ou un pied de page, et la compression réduit la résolution des images ou change l'espace colorimétrique. Un logo net sur la copie authentique et flou sur le fichier reçu trahit un ré-encodage. C'est un indice complémentaire : les candidats compressent aussi leurs fichiers pour respecter une limite d'envoi.

Ce que ces traces ne disent pas

Les traces montrent qu'un fichier a été traité, pas pourquoi, et elles peuvent être effacées. Les métadonnées se réécrivent avec des outils gratuits ; un guide de TrueScreen décrit des outils en ligne qui permettent de réécrire directement le producteur, le titre et les dates (TrueScreen sur la modification des métadonnées PDF). Imprimer en PDF ou rastériser une page puis la ré-encapsuler efface la plupart des indices de structure. Des travaux de recherche identifient l'outil producteur à partir du style de codage interne plutôt que des métadonnées, justement parce que les métadonnées sont peu fiables (Robust PDF Files Forensics Using Coding Style).

Trois issues sont réalistes :

• Traces nettes : producteur inattendu, identifiant modifié et police incohérente. Demandez l'original à l'émetteur.
• Traces ambiguës : fichier réécrit mais propre. Beaucoup de candidats honnêtes fusionnent, compressent ou font pivoter des pages. Demandez pourquoi.
• Aucune trace : poursuivez par les contrôles entre documents, car un faussaire soigneux ne laisse rien dans le fichier.

Ce que les contrôleurs demandent vraiment

Sur les forums de conformité et d'immobilier, deux questions reviennent sans cesse.

« Mon client dit avoir seulement compressé le PDF. Est-ce crédible ? »

Cela peut l'être. Compresser ou fusionner change le producteur, l'identifiant et souvent le nombre de révisions, mais ne doit ni changer les polices du texte, ni déplacer des montants, ni altérer des valeurs. Si les seules différences sont le producteur, les dates et la qualité d'image, et que le contenu concorde avec les autres pièces, traitez-le comme un réenregistrement bénin et consignez-le au dossier.

« Peut-on passer un document suspect dans un vérificateur gratuit en ligne ? »

Pas sans réflexion. Le fichier contient des données personnelles ; l'envoyer à un service tiers en fait un sous-traitant ou un destinataire au sens du RGPD. L'article 28 du RGPD exige un contrat avec le sous-traitant, et la CNIL rappelle la nécessité d'une base légale. Utilisez des outils locaux pour les métadonnées, et un service externe seulement sous contrat de sous-traitance.

Une procédure courte à adopter

1. Consignez producteur, créateur, dates et identifiant de chaque PDF entrant dans le dossier.
2. Comparez avec une référence authentique du même émetteur.
3. Sélectionnez et copiez les valeurs clés (nom, montant, date, IBAN) et vérifiez la cohérence des polices et des blocs de texte.
4. Vérifiez l'état de la signature lorsque l'émetteur signe habituellement.
5. Rapprochez les montants des autres pièces : bulletin de paie et relevé bancaire, relevé et avis d'imposition.
6. Remontez les écarts au responsable de la lutte contre la fraude ou le blanchiment.

Le rapprochement entre documents est l'étape décisive. Le guide de vérification de documents montre comment les contrôles s'articulent, notre article sur comment savoir si un PDF a été modifié détaille la structure des révisions, et celui sur la détection des métadonnées PDF falsifiées explique comment l'effacement laisse lui-même une empreinte.

Cadre juridique et réglementaire en France

Présenter un document altéré comme authentique peut constituer un faux, et les professionnels assujettis doivent pouvoir démontrer qu'ils ont vérifié les pièces sur lesquelles ils s'appuient. L'article 441-1 du Code pénal définit le faux comme toute altération frauduleuse de la vérité dans un écrit destiné à établir la preuve d'un droit ou d'un fait ; il est puni de trois ans d'emprisonnement et 45 000 euros d'amende. Pour les établissements assujettis au dispositif LCB-FT du Code monétaire et financier, l'ACPR contrôle la qualité des vérifications d'identité et de justificatifs, et les soupçons se déclarent à Tracfin. Un dossier accepté malgré des traces d'édition inexpliquées est difficile à défendre ; un dossier où le contrôleur a noté les traces, demandé l'original et documenté l'issue l'est beaucoup moins.

Le contrôleur de premier niveau ne qualifie pas l'infraction. Il consigne ce qu'il constate et le transmet au responsable désigné.

Traiter ces contrôles à volume

L'inspection manuelle prend quelques minutes par fichier et dépend de la personne. Des contrôles automatisés appliquent les mêmes tests de propriétés, de structure et de cohérence à chaque dépôt et n'envoient à un humain que les fichiers atypiques. Les signaux de génération IA et de falsification de CheckFile complètent vos contrôles existants sans remplacer le jugement du contrôleur. Pour la complétude des dossiers et la comparaison des champs et des dates entre documents, voyez la solution banque et KYC, la page sécurité pour le traitement des fichiers et les tarifs.

Questions fréquemment posées

Les éditeurs PDF en ligne laissent-ils des traces ?

Oui. La plupart modifient le champ producteur ou créateur, mettent à jour la date de modification, régénèrent l'identifiant du fichier et réécrivent la structure des objets. Certains ré-intègrent des polices ou suppriment les signatures numériques. Ces traces peuvent être effacées ensuite, leur absence ne prouve donc pas que le fichier est intact.

Peut-on savoir quel éditeur en ligne a été utilisé ?

Parfois. La chaîne de producteur nomme souvent le service ou sa bibliothèque, et le style de codage peut orienter. C'est une piste, pas une certitude, car les valeurs peuvent être écrasées et les services changent de logiciel.

Une seule révision signifie-t-elle que le PDF n'a pas été modifié ?

Non. Beaucoup d'éditeurs web réécrivent tout le fichier, ce qui ramène le nombre de révisions à un. Un producteur inattendu associé à un nouvel identifiant est plus parlant que le nombre de révisions.

Un PDF sans métadonnées est-il suspect ?

C'est un signal, pas un verdict. Des outils de confidentialité, l'impression en PDF et certains portails suppriment les métadonnées. Demandez l'original à l'émetteur et comparez-le à un document authentique connu.

Puis-je vérifier le PDF d'un client dans un outil en ligne gratuit ?

Seulement avec une base légale et un contrat de sous-traitance avec le fournisseur. Sinon, utilisez des outils locaux : le document contient des données personnelles.