Protéger un PDF par mot de passe

Ce que le chiffrement fait au fichier

Dans un PDF, le chiffrement s'applique séparément à chaque chaîne et à chaque flux, ce qui signifie que chacun d'eux doit d'abord être accessible individuellement. Le document est donc réécrit avec ses flux d'objets et son flux de références croisées redéployés en objets numérotés simples et en table d'index classique, et ce n'est qu'ensuite qu'il est chiffré morceau par morceau. C'est pourquoi un fichier protégé est généralement un peu plus lourd que celui de départ : la structure n'est plus regroupée dans des flux compressés, les chaînes deviennent du texte chiffré en hexadécimal, et chaque morceau chiffré porte un vecteur d'initialisation de 16 octets.

Le contenu est préservé tel quel — pages, signets, champs de formulaire et leurs valeurs, pièces jointes et balises sont enveloppés plutôt que réécrits. Une seule chose ne passe pas : le dictionnaire d'informations du document. Titre, auteur, sujet et date de création ne sont pas repris dans le fichier reconstruit : un lecteur affiche donc le document verrouillé avec ces champs vides. Le flux de métadonnées XMP, que de nombreux logiciels lisent à la place, est conservé et chiffré avec le contenu.

Le chiffrement écrit ici est le plus récent que définit le format, et cela a un coût à l'autre bout. Les lecteurs antérieurs à 2011 environ — Acrobat 9 et versions précédentes, certaines liseuses, les visionneuses intégrées aux scanners et imprimantes multifonctions — ne peuvent pas du tout ouvrir un fichier AES-256, et le signalent comme endommagé ou non pris en charge au lieu de demander un mot de passe.

Si vous cherchez autre chose

Un mot de passe PDF contrôle qui peut ouvrir le fichier, et rien au-delà. Quiconque l'ouvre peut en enregistrer une copie non protégée en quelques secondes : cela protège un document pendant son transfert et sur un disque partagé, pas contre les personnes à qui vous l'envoyez. Si l'exigence est qu'un seul destinataire désigné puisse jamais lire le contenu, chiffrez plutôt le conteneur — une archive 7-Zip en AES, ou age ou GPG avec sa clé — et transmettez le mot de passe par un autre canal que le fichier.

Pour un lot, ou pour un destinataire équipé d'un vieux logiciel, qpdf fait le même travail depuis un script et vous laisse choisir l'ancien standard : qpdf --encrypt --user-password=... --owner-password=... --bits=128 --use-aes=y -- in.pdf out.pdf écrit de l'AES-128, que savent ouvrir les lecteurs remontant jusqu'au milieu des années 2000.