Pourquoi vous devriez cesser de confier vos documents confidentiels aux convertisseurs en ligne hébergés dans le cloud

Ce qui se passe réellement quand vous cliquez sur « téléverser »

Un convertisseur cloud est, par définition, l’ordinateur de quelqu’un d’autre. Quand vous y déposez un fichier, votre navigateur ouvre une connexion HTTP et transmet le document entier à un serveur que vous n’avez jamais vu, dans un centre de données dont l’emplacement est rarement précisé. Là, il est écrit sur disque, placé dans une file d’attente, repris par un processus de traitement, transformé, réécrit sur disque comme fichier de sortie, puis exposé via un lien de téléchargement temporaire. Selon la plateforme, ce lien peut se trouver derrière un CDN qui le met en cache en périphérie.

Rien de tout cela n’est malveillant en soi : c’est simplement le fonctionnement d’un traitement côté serveur. Le problème, c’est le nombre de copies ainsi créées. Une seule conversion produit couramment l’original téléversé, le fichier temporaire du worker, la sortie générée, ce que le CDN a mis en cache, et une ou plusieurs lignes dans un journal d’accès. Ajoutez les sauvegardes automatiques et vous obtenez un document présent en cinq ou six endroits, dont aucun n’est sous votre contrôle ni auditable.

Le fichier n’est pas la seule chose que vous envoyez

Avec les octets partent le nom du fichier — souvent plus révélateur que le contenu, pensez à « Lettre_licenciement_Marie_finale.pdf » —, sa taille, votre adresse IP, votre navigateur et fréquemment la page d’origine. Les documents bureautiques et les PDF transportent en outre des métadonnées internes : nom de l’auteur, organisation propriétaire de la licence, logiciel utilisé, dates de création et de modification. Les photographies embarquent des données EXIF, qui peuvent inclure les coordonnées GPS exactes de la prise de vue.

« Les fichiers sont supprimés au bout d’une heure » est une politique, pas un mécanisme

Les services sérieux publient des engagements de conservation et beaucoup les respectent. Mais une promesse est une déclaration d’intention appliquée par le code du service et la discipline de son personnel. Vous ne pouvez pas la vérifier, personne ne vous prévient si elle change, et elle ne dit rien de la sauvegarde effectuée vingt minutes après votre envoi, ni des journaux, généralement soumis à une durée de conservation totalement différente. Une garantie que vous ne pouvez pas inspecter relève de la confiance, pas de la sécurité.

Les quatre risques, par ordre de probabilité

1. 1 Une conservation plus longue que prévu. Le lien de sortie reste souvent valable des heures, parfois des jours, et c’est fréquemment une longue URL aléatoire plutôt qu’une ressource authentifiée. Quiconque obtient cette URL — via un historique, une conversation, un journal de proxy — peut télécharger votre document.
2. 2 Des sous-traitants que vous n’avez jamais acceptés. La plupart des petits sites de conversion n’exploitent pas leur propre infrastructure. Votre fichier transite par un fournisseur cloud, parfois par un bucket de stockage objet, parfois par une API de conversion tierce. Chaque saut est une organisation de plus disposant d’un accès technique au contenu.
3. 3 La fuite de données. Les buckets de stockage laissés en lecture publique sont l’une des causes les plus courantes d’exposition de données sur internet. Vous ne faites pas seulement confiance aux intentions de l’exploitant : vous faites confiance à sa configuration, un jour dont vous ne savez rien.
4. 4 Juridiction et accès légal. Un fichier stocké dans un autre pays relève du régime de divulgation de ce pays. Pour une photo de vacances, c’est sans importance. Pour le rapport médical d’un client ou un brevet non déposé, non.

Pourquoi cela compte plus qu’il y a cinq ans

Sous le RGPD — et les régimes équivalents ailleurs —, celui qui décide pourquoi et comment des données personnelles sont traitées est le responsable du traitement. Si vous êtes avocat, expert-comptable, recruteur, médecin ou responsable RH et que vous envoyez à un convertisseur gratuit un document contenant les données personnelles d’autrui, vous avez engagé un sous-traitant. Le faire légalement suppose un contrat de sous-traitance, une base légale, une évaluation des transferts hors de votre juridiction et une inscription au registre des traitements. Pratiquement personne, dans l’urgence, n’a fait tout cela.

L’exposition professionnelle est réelle

Le secret professionnel de l’avocat, le secret médical, le secret bancaire et les accords de confidentialité habituels imposent des obligations qui ne s’interrompent pas parce qu’un délai est serré. Dans la plupart de ces régimes, communiquer un document à un tiers non nécessaire constitue un manquement, que quelque chose de fâcheux arrive ensuite au fichier ou non. L’exposition naît au moment du téléversement, pas au moment de l’usage abusif.

Ce que votre navigateur sait déjà faire sans serveur

L’habitude de téléverser est un héritage d’une époque où les navigateurs ne pouvaient réellement pas faire ce travail. Cette époque est révolue depuis longtemps. Un navigateur moderne peut lire un fichier sur le disque avec la File API, le conserver en mémoire sous forme d’ArrayBuffer, décoder et réencoder des images via la Canvas API, exécuter des bibliothèques lourdes compilées en WebAssembly, reconstruire le graphe d’objets d’un PDF en JavaScript, calculer des empreintes cryptographiques avec Web Crypto, effectuer tout cela dans un thread d’arrière-plan grâce aux Web Workers, et vous rendre le résultat via une URL locale temporaire qui ne quitte jamais la machine.

C’est exactement ainsi qu’est construit chaque outil de ce site. Il n’y a aucun serveur applicatif derrière KitYards pour recevoir un fichier, car le site est une compilation statique : du HTML, du CSS et du JavaScript sur un CDN. Quand vous déposez un PDF dans l’un des outils, les octets sont lus dans la mémoire de votre propre onglet, transformés sur place et proposés au téléchargement. Rien n’est transmis, et c’est une garantie plus solide que n’importe quelle politique de conservation, parce qu’elle ne dépend de la parole de personne.

L’objection de la performance est dépassée

L’ancien argument en faveur du traitement côté serveur était la puissance brute. Sur une charge de la taille d’un document, cet argument s’est effondré : l’aller-retour consistant à envoyer vingt mégaoctets puis à télécharger le résultat est généralement plus lent que de faire le travail sur un ordinateur portable de cinq ans d’âge, et échoue complètement avec une mauvaise connexion. Le traitement local passe aussi parfaitement à l’échelle — chaque visiteur apporte son propre processeur —, ce qui explique qu’il puisse être gratuit, sans limites, sans filigrane et sans file d’attente.

Comment vérifier qu’un outil est réellement local

Vous n’êtes obligé de croire le discours marketing de personne, y compris le nôtre. Cinq minutes de vérification tranchent la question, et ces tests fonctionnent sur n’importe quel site.

1. 1 Surveillez le réseau. Ouvrez les outils de développement, passez à l’onglet Réseau, videz-le puis utilisez l’outil. Un outil local affiche les ressources de la page, puis plus rien : aucune requête POST transportant votre fichier, aucun envoi de plusieurs mégaoctets.
2. 2 Débranchez. Chargez la page une fois, puis coupez internet ou activez le mode avion et utilisez l’outil. Un traitement réellement local continue de fonctionner. Un convertisseur cloud échoue immédiatement.
3. 3 Regardez le temps de réponse. Si un fichier de 40 Mo est « traité » en une fraction du temps nécessaire à son envoi avec votre connexion, le travail s’est fait en local. Si l’attente croît avec votre débit montant, non.
4. 4 Observez ce que le site demande. Un compte, une adresse e-mail pour recevoir le lien, ou une limite de taille qui se débloque par abonnement impliquent un serveur qui travaille et un modèle économique bâti dessus.
5. 5 Cherchez le mot « conservation » dans la politique. Un site qui n’a rien à conserver le dit clairement et brièvement. Une section longue et nuancée sur la durée de stockage des fichiers vous apprend qu’ils sont stockés.

Une politique concrète pour une petite équipe

Les interdictions générales d’outils en ligne ne survivent pas au premier délai serré : les gens cessent simplement de dire ce qu’ils utilisent. Une règle qui fonctionne est plus étroite et plus facile à suivre.

• Classez par contenu, pas par type de fichier. Rien qui contienne des données personnelles, des informations financières, des identifiants ou des informations commerciales non publiées n’est envoyé à un tiers.
• Pour le travail documentaire courant — compresser, diviser, réorganiser, convertir —, privilégiez les outils qui s’exécutent dans le navigateur. Ce sont précisément les opérations qui n’ont plus besoin de serveur.
• Lorsqu’un serveur est réellement nécessaire, utilisez un service que votre organisation a évalué et avec lequel elle a un contrat, pas le premier résultat de recherche.
• Supprimez les métadonnées avant tout partage externe et relisez le nom du fichier. « Offre_v3_refusee_sauvegarde.pdf » a déjà appris au destinataire quelque chose que vous ne vouliez peut-être pas lui dire.
• Écrivez la règle en un paragraphe. Une politique que personne ne sait réciter n’en est pas une.

En résumé

Envoyer un document à un convertisseur gratuit n’est pas imprudent parce que l’exploitant serait présumé malhonnête. C’est imprudent parce que cela crée des copies que vous ne pouvez pas compter, dans des endroits que vous ne voyez pas, régies par des promesses que vous ne pouvez pas vérifier — en échange d’un confort que votre propre navigateur sait désormais offrir. Pour les tâches quotidiennes de compression, de division, de fusion, de réorganisation et de conversion, il n’y a tout simplement plus de raison que le fichier voyage. Gardez-le sur votre appareil et toute cette catégorie de risque disparaît.