Mot de passe et restrictions d’un PDF : ce qui protège vraiment

Deux mécanismes qu’il ne faut pas confondre

Le chiffrement standard défini par la norme PDF repose sur deux mots de passe aux rôles distincts. Ils s’emploient ensemble ou séparément, et c’est leur combinaison qui fixe le niveau réel de protection.

• Le mot de passe d’ouverture, appelé mot de passe utilisateur dans la norme : sans lui, le lecteur ne peut pas afficher le document, car le contenu est chiffré. Ce n’est pas un écran de verrouillage posé devant un fichier resté lisible.
• Le mot de passe propriétaire : il donne tous les droits sur le document et gouverne les restrictions d’usage, c’est-à-dire l’autorisation ou non d’imprimer, de copier du texte ou de modifier le fichier.

Le point décisif concerne ces restrictions. La documentation de qpdf, l’outil libre qui effectue le chiffrement dans nos outils Protéger et Déverrouiller, rappelle que leur respect dépend entièrement du logiciel qui lit le fichier : un lecteur peut être modifié pour les ignorer. Un PDF muni de restrictions mais dont le mot de passe d’ouverture est vide s’ouvre donc chez tout le monde, et seules les applications disciplinées refuseront d’imprimer ou de copier.

Ce qui rend un mot de passe d’ouverture solide

Deux conditions comptent : l’algorithme et le mot de passe lui-même. Côté algorithme, la version 2.0 de la norme PDF (ISO 32000-2) ne conserve, pour le chiffrement standard, que le schéma fondé sur AES avec une clé de 256 bits ; RC4 et les révisions antérieures y sont dépréciés. La documentation de qpdf précise qu’un fichier chiffré sur 40 bits n’est pas sûr, quelle que soit la qualité du mot de passe.

Côté mot de passe, un fichier protégé ne bloque pas les essais : quiconque le détient peut tester des combinaisons sans limite ni délai. La CNIL recommande, pour un mot de passe utilisé sans mesure de sécurité complémentaire, une entropie d’au moins 80 bits, et donne trois exemples de règles équivalentes :

• 12 caractères au minimum, mêlant majuscules, minuscules, chiffres et caractères spéciaux ;
• 14 caractères au minimum, mêlant majuscules, minuscules et chiffres ;
• une phrase de passe d’au moins 7 mots.

Cybermalveillance.gouv.fr ajoute deux règles simples : un mot de passe différent pour chaque service, et un gestionnaire de mots de passe plutôt qu’un pense-bête laissé près de l’ordinateur ou un fichier non protégé.

Protéger un document avec WeArePDF

L’outil Protéger PDF chiffre le fichier en AES-256 et impose un mot de passe d’ouverture d’au moins 4 caractères, à saisir deux fois pour éviter une faute de frappe. Trois cases règlent ensuite les permissions : « Autoriser l’impression », « Autoriser la copie de texte » et « Autoriser la modification ». Elles sont cochées au départ.

Si vous décochez au moins une permission, l’outil attribue au fichier un mot de passe propriétaire différent du mot de passe d’ouverture. C’est indispensable : quiconque ouvre le document avec le mot de passe propriétaire dispose de tous les droits, et des restrictions protégées par le même mot de passe que l’ouverture ne restreindraient personne. Vous pouvez saisir ce second mot de passe ; à défaut, il est généré au hasard et ne vous est pas communiqué. Dans ce cas, plus personne ne pourra lever les restrictions par mot de passe : gardez l’original non protégé.

Le mot de passe propriétaire que vous saisissez n’est demandé qu’une fois. Relisez-le en l’affichant avec l’icône en forme d’œil : une faute de frappe rendrait les restrictions impossibles à lever, même si le document continue de s’ouvrir avec le mot de passe d’ouverture.

L’outil ne conserve aucun des deux mots de passe. Un mot de passe perdu ne peut pas être retrouvé : enregistrez-le dans votre gestionnaire avant de fermer la page.

Retirer une protection : ce qui est possible, et à quelles conditions

L’outil Déverrouiller PDF commence par analyser le fichier, sans rien produire, puis distingue trois situations.

• Fichier à mot de passe d’ouverture : vous saisissez le mot de passe et obtenez une copie déchiffrée, sans mot de passe ni restriction. Sans ce mot de passe, rien n’est possible : l’outil ne cherche pas à le deviner.
• Fichier à simples restrictions : l’outil vous indique que le document s’ouvre sans mot de passe et liste les actions que son auteur a restreintes. Le bouton de production reste inactif tant que vous n’avez pas coché la case attestant que vous êtes l’auteur du document ou que vous disposez d’une autorisation pour lever ses restrictions.
• Fichier sans aucune protection : l’outil le signale et ne produit aucune copie.

Cette case n’est pas une formalité. Techniquement fragiles, les restrictions peuvent être protégées par le droit. L’article L331-5 du Code de la propriété intellectuelle protège les mesures techniques efficaces qui empêchent les utilisations non autorisées d’une œuvre, en citant notamment le cryptage. L’article L335-3-1 punit de 3 750 euros d’amende le fait d’y porter atteinte sciemment, sauf à des fins de recherche ou de sécurité informatique. S’y ajoutent, le cas échéant, les engagements de confidentialité pris envers l’émetteur du document.

Savoir si une restriction donnée constitue une mesure technique efficace relève de l’appréciation d’un juge. En pratique, levez une restriction si vous êtes l’auteur du document, si son émetteur vous y autorise, ou si l’organisation qui en détient les droits vous l’a demandé. Dans le doute, réclamez une version sans restriction : c’est plus simple et sans risque.

Quelle protection pour quel usage

Pour ce dernier besoin, consultez le guide Signer un PDF : ce que vaut chaque type de signature. Pour marquer une copie au nom de son destinataire, utilisez l’outil Filigrane avant de la protéger.