Mot de passe PDF : ouverture ou autorisations, quelle différence ?

Votre relevé bancaire s'ouvre sans rien vous demander, mais le bouton Imprimer est grisé et la barre de titre affiche « SECURED » (sécurisé). Un autre PDF, envoyé par votre comptable, n'affiche pas une seule page tant que vous n'avez pas saisi de mot de passe. Les deux fichiers sont « protégés par mot de passe », et pourtant ils ne se comportent pas du tout de la même façon.

C'est parce qu'un PDF peut contenir deux mots de passe distincts, qui jouent deux rôles distincts : un mot de passe d'ouverture et un mot de passe d'autorisations. L'un empêche les gens d'entrer dans le fichier. L'autre se contente de demander à leur lecteur PDF de bien se tenir. Savoir lequel est lequel vous dit à quel point un fichier est réellement sûr, et ce que vous pouvez faire de celui que vous avez sous les yeux.

Le mot de passe d'ouverture : un vrai verrou

Le mot de passe d'ouverture (Acrobat l'appelle mot de passe « Document Open », et la spécification PDF parle de mot de passe utilisateur) est celui qui vous arrête à la porte. Sans lui, vous voyez une invite de saisie et rien d'autre.

Derrière cette invite, le contenu du fichier est chiffré. Le mot de passe sert à dériver la clé qui déchiffre les pages, si bien que le texte et les images restent brouillés pour quiconque ne l'a pas. Peu importe l'application dans laquelle vous ouvrez le fichier, ou qu'elle respecte les règles ou non : sans le mot de passe, il n'y a rien de lisible à afficher.

C'est aussi pour cela qu'un mot de passe d'ouverture oublié pose un tel problème. Le mot de passe n'est pas stocké dans le fichier en attendant qu'on aille le chercher, et il n'existe aucun lien de « réinitialisation ». Les PDF modernes utilisent le chiffrement AES, et la seule façon d'entrer sans le mot de passe est de le deviner. Un mot de passe court comme une date de naissance se devine vite. Une longue phrase de passe, en pratique, non.

Le mot de passe d'autorisations : une demande polie

Le mot de passe d'autorisations (le mot de passe propriétaire, selon les termes de la spécification) fait quelque chose de bien plus faible. Un fichier qui n'a qu'un mot de passe d'autorisations s'ouvre pour tout le monde, sans aucune invite. Ce que le mot de passe contrôle, c'est un ensemble d'indicateurs : l'impression est-elle autorisée, le texte et les images peuvent-ils être copiés, le document peut-il être modifié, annoté ou voir ses pages réorganisées.

Et c'est là que le bât blesse. Ces indicateurs sont des instructions adressées à votre lecteur PDF, pas une barrière autour du contenu. Le lecteur doit déchiffrer les pages pour les afficher, donc le contenu est entièrement disponible à l'écran. Que le bouton Imprimer soit réellement grisé dépend du bon vouloir du lecteur, qui choisit ou non de respecter les indicateurs. Acrobat les respecte. Bien d'autres visionneuses, dont certaines intégrées aux navigateurs, en ignorent une partie ou la totalité, et rien dans le fichier ne peut les y contraindre.

Un mot de passe d'autorisations est donc efficace pour empêcher un usage abusif occasionnel (« merci de ne pas imprimer ce brouillon ») et inefficace pour garder quoi que ce soit secret. Si ce qui compte pour vous, c'est de savoir qui peut lire le document, un mot de passe d'autorisations seul ne protège rien.

Le gestionnaire locatif qui croyait les relevés verrouillés

Un gestionnaire locatif rassemble les relevés bancaires et les fiches de paie des candidats à la location, puis les transmet à la propriétaire pour validation. Pour les garder confidentiels, il « protège » chaque fichier dans son éditeur PDF en décochant l'impression et la copie et en définissant un mot de passe d'autorisations. Il en déduit que les fichiers sont verrouillés. Puis la propriétaire lui dit qu'elle les a tous ouverts sur son téléphone sans rien saisir, et il comprend que les fichiers se seraient ouverts tout aussi facilement pour n'importe qui ayant reçu l'e-mail par erreur.

La comptable qui tape le même mot de passe quarante fois

Une comptable reçoit chaque mois les relevés d'un client envoyés par la banque de ce client. La banque expédie chaque PDF avec un mot de passe d'ouverture construit à partir de la date de naissance du client, ce qui est judicieux pendant l'envoi. Mais elle doit classer une année de relevés dans le dossier du client, en fusionner certains en un dossier trimestriel et pouvoir y faire des recherches plus tard. Chaque fichier l'arrête désormais avec une invite, et son outil de fusion ne peut pas combiner des fichiers qu'il ne peut pas ouvrir.

Quand un PDF a les deux

Un PDF peut contenir les deux mots de passe à la fois. Le mot de passe d'ouverture permet de lire le fichier, avec les indicateurs d'autorisations appliqués. Le mot de passe d'autorisations déverrouille tout : dans la plupart des lecteurs, le saisir à l'invite ouvre le fichier sans aucune restriction.

Cela a une conséquence pratique. Si le mot de passe d'ouverture et le mot de passe d'autorisations sont identiques, quiconque peut ouvrir le fichier détient aussi la clé qui lève les restrictions. Pour que les restrictions aient un sens, les deux mots de passe doivent être différents, et le mot de passe d'autorisations doit rester entre les mains de l'auteur.

Cela explique aussi quel mot de passe il vous faut, et pour quoi. Pour lire un fichier verrouillé, il vous faut le mot de passe d'ouverture. Pour supprimer un mot de passe d'ouverture, vous devez le connaître, car le fichier doit être déchiffré avant de pouvoir être enregistré sans. Il n'existe aucun raccourci légitime dans un cas comme dans l'autre : un outil qui retire une protection sans le mot de passe est en train de le deviner.

Ajouter le bon mot de passe, ou retirer celui que vous connaissez

Une fois que vous savez ce que fait chaque mot de passe, la solution à ces deux situations est simple. Les deux outils ci-dessous fonctionnent entièrement dans votre navigateur : vos PDF et le mot de passe que vous saisissez ne quittent jamais votre appareil, ce qui compte justement pour le genre de documents que l'on protège par mot de passe.

Comment le gestionnaire verrouille vraiment les fichiers

Le gestionnaire dépose les relevés des candidats dans l'outil et ajoute un mot de passe d'ouverture aux PDF, un seul mot de passe pour tout le lot, qu'il communique à la propriétaire par téléphone au lieu de le mettre dans le même e-mail. Chaque fichier est désormais chiffré de bout en bout : quiconque ouvre une pièce jointe sans ce mot de passe voit une invite de saisie et rien d'autre, quelle que soit l'application utilisée.

Comment la comptable récupère ses archives

La comptable connaît déjà le mot de passe ; elle ne veut simplement pas le taper indéfiniment. Elle charge les relevés de l'année, coche l'option permettant d'utiliser le même mot de passe pour tous les fichiers verrouillés, saisit la date de naissance une seule fois et retire le mot de passe des PDF en un seul lot. Elle obtient des copies propres qui s'ouvrent, se fusionnent et se consultent sans invite, et elle les range dans le dossier du client, protégées comme le reste de ce dossier.

En bref

Un mot de passe d'ouverture chiffre le PDF : sans lui, le fichier est illisible. Un mot de passe d'autorisations se contente de demander aux lecteurs PDF de bloquer l'impression, la copie ou la modification, et le fichier s'ouvre toujours pour tout le monde. Si un document doit rester confidentiel, donnez-lui un mot de passe d'ouverture et transmettez ce mot de passe par un autre canal que le fichier. Si le mot de passe d'un fichier vous gêne simplement et que vous le connaissez, retirez-le d'une copie que vous conservez en lieu sûr.

Vous envoyez quelque chose qui ne doit pas être lu en chemin ? Essayez Protéger un PDF gratuitement →

Vous avez déjà le mot de passe et vous en avez assez de le taper ? Déverrouiller un PDF → est là aussi.