Protéger un PDF par mot de passe : ouverture, droits, AES

Le format PDF définit deux mots de passe, et la plupart des confusions viennent du fait qu’on les prend pour un seul. Le mot de passe d’ouverture, que la spécification appelle mot de passe utilisateur, est celui qui compte pour la confidentialité. Lorsqu’il est défini, chaque page, image, champ de formulaire et pièce jointe est chiffré, et le contenu du fichier n’est que du bruit tant que personne ne le saisit. Si le fichier est transféré à la mauvaise personne ou si un ordinateur portable est volé, rien n’est exposé tant que le mot de passe reste secret.

Le mot de passe des autorisations, appelé mot de passe propriétaire, fonctionne différemment. Il permet à l’auteur de désactiver l’impression, la copie du texte, le remplissage des formulaires, les commentaires ou la modification des pages. Le document s’ouvre toujours sans invite, et le lecteur peut voir chaque mot. Les restrictions sont des indicateurs enregistrés dans le fichier, et c’est au lecteur PDF de les respecter. Acrobat, Chrome, Edge, Firefox et Aperçu le font et grisent les éléments de menu correspondants. Un lecteur ou une bibliothèque qui choisit d’ignorer ces indicateurs peut imprimer et copier malgré tout, car le contenu ne lui a jamais été caché.

En pratique, cela donne trois combinaisons. Utilisez seul un mot de passe d’ouverture pour tout document privé : fiches de paie, déclarations d’impôts, courriers médicaux, contrats en cours de négociation. Utilisez seul un mot de passe des autorisations pour des documents publics mais gênants à modifier, comme une liste de prix signée. Utilisez les deux lorsque seules des personnes désignées doivent lire le fichier sans pouvoir le modifier, et choisissez deux mots de passe différents, faute de quoi quiconque peut ouvrir le fichier peut aussi lever les restrictions.

Le chiffrement des PDF a été révisé plusieurs fois depuis la première version de 1994, et les anciennes méthodes restent lisibles pour des raisons de compatibilité. La clé RC4 de 40 bits du PDF 1.1 peut être trouvée par force brute sur un ordinateur ordinaire, et le RC4 de 128 bits du PDF 1.4 repose sur un algorithme qui n’est plus considéré comme sûr. AES-128 est arrivé avec le PDF 1.6 et Acrobat 7. AES-256 est apparu avec Acrobat 9, puis Acrobat X a remplacé le premier schéma 256 bits d’Adobe par une vérification du mot de passe plus robuste ; c’est la version que conserve l’ISO 32000-2, la norme PDF 2.0, qui déconseille RC4.

Pour presque tout le monde, le choix est simple : AES-256. Tous les lecteurs actuels sous Windows, macOS, iOS, Android et dans les principaux navigateurs l’ouvrent. Ne passez à AES-128 que si un destinataire précis utilise un logiciel trop ancien pour les fichiers 256 bits, par exemple un système de gestion documentaire qui n’a pas été mis à jour depuis quinze ans. Dans Acrobat, le menu Compatibilité fait ce choix pour vous : Acrobat X et versions ultérieures signifie AES-256, Acrobat 7 et versions ultérieures signifie AES-128, et toute version plus ancienne signifie RC4.

Vous possédez peut-être déjà un logiciel capable de chiffrer un PDF. Acrobat Standard et Pro, payants, offrent les contrôles les plus complets, dont des mots de passe d’ouverture et d’autorisations distincts et le menu de compatibilité décrit plus haut. Aperçu sous macOS peut ajouter les deux mots de passe dans sa boîte de dialogue d’exportation ; sur les versions récentes de macOS, l’option se trouve derrière un bouton Autorisations, sur les plus anciennes c’est une simple case Chiffrer. Word pour Windows peut chiffrer un PDF pendant sa création, mais seulement avec un mot de passe d’ouverture de 6 à 32 caractères et sans réglage d’autorisations.

Deux outils courants n’ont aucune fonction de mot de passe. Microsoft Print to PDF, l’imprimante virtuelle intégrée à Windows 10 et 11, produit un fichier non protégé sans option de sécurité, et la destination Enregistrer au format PDF de Chrome dans la boîte de dialogue d’impression fait de même. Si votre PDF provient de l’un d’eux, chiffrez-le dans un second temps. Quel que soit l’outil, ouvrez le résultat une fois et vérifiez qu’il demande bien le mot de passe ; dans Acrobat Reader, Fichier > Propriétés > Sécurité affiche la méthode et les autorisations.

Sur un Chromebook, un ordinateur professionnel sans Acrobat ou un téléphone, un outil en ligne fait le même travail. Protégez le PDF par mot de passe en important un fichier de 95 Mo maximum ; UltKit le chiffre en AES-256 par défaut et supprime à la fois le fichier importé et le résultat 30 minutes après le traitement. Il n’y a rien à installer ni compte à créer, ce qui compte sur un poste de travail verrouillé.

Faites d’abord toutes les autres modifications. Un PDF chiffré ne peut être ni recompressé ni fusionné sans le mot de passe ; si le fichier est trop lourd pour la limite d’un e-mail, compressez le PDF avant de le protéger. S’il contient des réponses de formulaire qui ne doivent plus changer, aplatissez-le aussi au préalable. Le chiffrement n’ajoute qu’un petit dictionnaire de sécurité : la copie protégée a donc à peu près la même taille que l’original.

L’erreur la plus courante consiste à envoyer le mot de passe dans le même e-mail que la pièce jointe, ou dans un second e-mail une minute plus tard. Quiconque peut lire cette messagerie, y compris une personne à qui la conversation est transférée, dispose alors des deux moitiés. Utilisez un autre canal : envoyez le fichier par e-mail et le mot de passe par SMS, dictez-le lors d’un appel ou convenez-en en personne. Pour un échange récurrent, comme des relevés mensuels au même client, convenez une fois d’une règle de mot de passe et ne l’écrivez jamais dans le message.

Choisissez un mot de passe que le destinataire peut saisir sans erreur. Une phrase secrète de quatre ou cinq mots sans rapport est plus facile à dicter au téléphone qu’une suite de symboles, et plus difficile à deviner qu’un prénom ou une date de naissance. Évitez les informations que les collègues du destinataire pourraient retrouver, et ne réutilisez pas le mot de passe de votre messagerie ou de votre banque, puisque vous allez le partager avec quelqu’un d’autre.

Les documents réglementés relèvent d’enjeux plus élevés. Les dossiers RH, médicaux et juridiques sont souvent soumis à des règles telles que la loi HIPAA aux États-Unis, qui cite le chiffrement comme mesure de protection des données de santé, ou l’article 32 du RGPD, qui nomme le chiffrement comme exemple de sécurité appropriée. Un mot de passe d’ouverture AES-256 sur une pièce jointe est une bonne part de la réponse, mais pas la totalité : votre organisation peut exiger un portail sécurisé, la journalisation des destinataires ou un calendrier de conservation. Vérifiez votre politique avant même de choisir l’e-mail.

Le chiffrement protège le fichier au repos et pendant le transfert. Une fois que la bonne personne l’ouvre, le contenu s’affiche à l’écran, et rien dans le format PDF ne peut empêcher une capture d’écran, une photo de l’écran avec un téléphone ou une reconnaissance de texte appliquée à l’une ou l’autre. Les restrictions d’impression ne résistent pas à un lecteur qui les ignore, et si l’impression est autorisée, imprimer vers une imprimante PDF virtuelle peut produire une copie non protégée. Considérez les restrictions comme une marque de courtoisie envers les lecteurs honnêtes, non comme une défense.

Certains détails restent aussi visibles sans le mot de passe. Le nom du fichier n’est jamais chiffré : Smith_HIV_results.pdf révèle ce qu’un contenu chiffré cache ; donnez aux fichiers sensibles un nom neutre. Si Chiffrer les métadonnées est désactivé, le titre, l’auteur et les mots-clés sont lisibles par tous. L’objet de l’e-mail, l’expéditeur et le destinataire, la taille de la pièce jointe et la date sont visibles de tous les serveurs de messagerie traversés, et une archive ZIP chiffrée en AES ne masque les noms de fichiers que si son format permet de les chiffrer.

Quand vous connaissez le mot de passe, le retirer est une opération courante. Un relevé bancaire que vous ouvrez chaque semaine, ou un document que vous avez chiffré vous-même et que vous devez maintenant modifier, peut être déverrouillé avec le mot de passe que vous connaissez : saisissez-le dans Mot de passe actuel, cliquez sur Déverrouiller et conservez la copie non protégée à un endroit privé. Pour changer de mot de passe, déverrouillez le fichier puis protégez-le de nouveau avec le nouveau. Supprimer uniquement les restrictions lève les limites d’impression et de copie tout en conservant le mot de passe d’ouverture.

Un mot de passe d’ouverture oublié est un tout autre cas, et la réponse honnête est courte. Un PDF chiffré en AES-256 avec un mot de passe robuste ne peut être récupéré par personne, Adobe compris, car il n’existe ni clé maîtresse ni porte dérobée. Les programmes de récupération de mots de passe ne font que deviner : cela réussit contre les mots de passe faibles et les anciens fichiers RC4, et échoue contre une longue phrase secrète. Demandez le mot de passe à l’expéditeur ou une nouvelle copie, cherchez la règle de mot de passe dans l’e-mail qui contenait le fichier, et conservez vos propres originaux non chiffrés dans un endroit sûr.

Parcourez cette liste pour chaque document. Cela prend une minute et couvre les erreurs qui annulent le plus souvent une configuration pourtant solide, d’un nom de fichier révélateur à un mot de passe placé dans la même boîte de réception que la pièce jointe.