Masquer un numéro de sécurité sociale dans un PDF

Les numéros de sécurité sociale sont le cas d’école pour l’expurgation : un numéro de sécurité sociale (SSN) est petit, facile à ignorer, permet une identification unique et cause des dommages permanents lorsqu’il est divulgué. Si vous préparez un dépôt au tribunal, une demande de dossiers publics, un contrat de fournisseur ou un dossier d’assurance, « je l’ai recouvert d’une boîte noire » n’est pas une protection — c’est un marque-page pour quiconque sait où chercher. Voici comment l’expurgation fonctionne réellement et comment la réaliser sans téléverser le document nulle part.

L’erreur critique : dessiner une boîte noire

Le premier réflexe est d’ouvrir un éditeur PDF, de dessiner un rectangle noir sur le texte sensible et d’enregistrer. Cela échoue systématiquement, et la raison en est le format PDF lui-même.

Un PDF stocke deux représentations parallèles du texte. Il y a la couche visible — les glyphes qui sont peints à l’écran — et il y a la couche de texte, les codes de caractères réels qui se trouvent dans le flux de contenu de la page, et c’est ce que lisent les moteurs de recherche, le copier-coller et les lecteurs d’écran. Lorsque vous dessinez une boîte noire, vous ne modifiez que la couche visible. La couche de texte en dessous est complètement intacte, et n’importe qui peut sélectionner la région « expurgée », la copier ou exporter le texte et lire le numéro de sécurité sociale en texte clair. Pire encore, certaines fonctionnalités d’« expurgation » dans les éditeurs de base ne sont littéralement que des rectangles avec un remplissage sombre.

Ce mode de défaillance a un nom dans l’e-discovery : il s’agit d’une violation des métadonnées / de la couche de texte, et il a exposé des documents scellés dans de véritables affaires judiciaires. Si votre expurgation peut être déjouée par Ctrl+A, Ctrl+C, ce n’est pas une expurgation.

Ce que fait la véritable expurgation

La véritable expurgation supprime le texte du flux de contenu lui-même. Les caractères sont physiquement supprimés du fichier, et ce n’est qu’ensuite que la zone visuelle est recouverte. Après une véritable expurgation :

La sélection de la région ne sélectionne rien.
Le copier-coller ne renvoie aucun texte caché.
La recherche du numéro de sécurité sociale dans le fichier ne donne aucun résultat.
Les codes de caractères n’existent plus dans les octets du fichier.

Tout outil qui fait moins que cela ne fait pas d’expurgation, et la différence peut être testée en quelques secondes (nous y reviendrons).

Trouver d’abord chaque occurrence

L’autre échec classique : masquer le numéro de sécurité sociale à la page 4 et laisser le même numéro à la page 12 — dans un en-tête, un bloc de signature ou une pièce jointe. Un travail minutieux commence par une recherche de modèle, et non par une lecture manuelle.

Un numéro de sécurité sociale américain correspond à un modèle prévisible (neuf chiffres, souvent regroupés en 3-2-4), ce qui signifie qu’il peut être trouvé par programmation — tout comme les autres identifiants à haut risque : numéros de passeport et de carte d’identité nationale, numéros de carte de crédit, numéros de téléphone, adresses e-mail et coordonnées bancaires. L’outil de masquage de PII de PDFLean effectue cette analyse localement : il détecte les candidats de type SSN, les identifiants, les numéros de téléphone, les cartes et les e-mails dans le navigateur, vous les montre chacun dans son contexte et vous permet de les confirmer ou de les rejeter avant que quoi que ce soit ne soit supprimé. Des mots-clés personnalisés (un nom de code de projet, le nom d’une contrepartie) peuvent être ajoutés au même passage.

L’étape « montrez-moi chacun dans son contexte et laissez-moi confirmer » est importante : la simple recherche de modèles signalera de nombreux numéros inoffensifs à neuf chiffres. L’expurgation est irréversible, c’est pourquoi un humain doit approuver chaque résultat.

Étape par étape : expurger sans téléverser

Ouvrez l’outil de masquage de PII. L’intégralité de l’analyse s’exécute dans votre navigateur.
Chargez le PDF. Il est uniquement stocké dans la mémoire locale — rien n’est transmis.
Passez en revue les candidats détectés (numéro de sécurité sociale, pièce d’identité, téléphone, carte, e-mail, mots-clés personnalisés). Activez ou désactivez chaque résultat en fonction du contexte environnant.
Lancez l’expurgation. L’outil supprime les codes de caractères du flux de contenu et couvre les zones concernées.
Vérifiez (section suivante — ne sautez pas cette étape).
Enregistrez la copie expurgée.

Pour une suppression ciblée — un nom ou une valeur spécifique que vous connaissez déjà — l’outil manuel Masquer le PDF prend une liste de mots-clés et supprime chaque occurrence de la même manière.

L’étape de vérification que presque tout le monde saute

Les affirmations d’expurgation ne coûtent rien ; la vérification en est la preuve. Sur le fichier de sortie, effectuez ces trois opérations :

Test de recherche. Ouvrez le PDF enregistré et recherchez le numéro de sécurité sociale exact (essayez avec et sans tirets : 123-45-6789 et 123456789). Zéro résultat est la seule issue acceptable.
Test de sélection. Sélectionnez la région expurgée en la faisant glisser et copiez-la. Si votre presse-papiers contient des chiffres, la couche de texte a survécu.
Test d’extraction de texte. Exportez tout le texte (l’Extracteur de texte le fait localement) et cherchez dans l’exportation. Si le numéro apparaît quelque part, l’expurgation est incomplète — il s’agit très probablement d’une deuxième copie sur une autre page.

Faites-le sur le fichier final enregistré, et non sur l’aperçu dans l’application. Les vues d’aperçu sont rendues à partir de l’état en direct ; seuls les octets enregistrés disent la vérité.

Encore une chose : les métadonnées

Le contenu textuel est la cible évidente, mais les métadonnées du PDF en sont une plus discrète. Les propriétés du document — auteur, titre, sujet, logiciel qui l’a créé, et parfois des champs personnalisés — peuvent contenir des noms, des identifiants et des chemins internes provenant de l’application de création d’origine. Un document entièrement expurgé avec Author: J. Smith, SSN 123-45-6789 dans ses propriétés fuit toujours.

Supprimez les métadonnées comme dernière étape de tout travail d’expurgation, et si le fichier est destiné à un environnement hostile (dépôt public, réponse FOIA), l’outil Assainir supprime les scripts intégrés, les actions cachées et tout autre contenu actif dans le même esprit.

Quand l’expurgation est le mauvais outil

L’expurgation détruit définitivement le texte sous-jacent. Si vous avez besoin de révéler le numéro plus tard (une équipe interne examinant l’original non expurgé), conservez une copie non expurgée séparée dans un stockage contrôlé et n’expurgez que la copie que vous distribuez. Le fichier distribué doit être celui qui a été nettoyé ; le document maître reste là où vos originaux sensibles se trouvent déjà.

Pour les formulaires qui sont réutilisés, le meilleur modèle est souvent d’expurger lors de la copie : gardez le document maître propre et générez une version expurgée pour chaque destinataire externe, afin qu’aucune erreur d’expurgation ne se propage en arrière dans votre document source.

Foire aux questions

Puis-je expurger un PDF numérisé ? Vous pouvez couvrir l’image visible, mais une numérisation n’a pas de couche de texte à supprimer — appliquez d’abord l’OCR (PDF OCR), expurgez le texte récupéré, puis décidez de conserver ou d’aplatir la couche d’image. Une boîte noire sur une numérisation n’est adéquate que si les pixels de la numérisation sont réellement détruits, et pas simplement recouverts.

L’expurgation est-elle réversible ? Non — c’est le but. Les octets ont disparu. C’est pourquoi il est important de confirmer chaque candidat détecté avant l’exécution, et c’est pourquoi vous conservez un document maître propre.

La protection par mot de passe compte-elle comme une expurgation ? Non. Le chiffrement contrôle l’accès ; l’expurgation supprime le contenu. Un PDF protégé par mot de passe avec un numéro de sécurité sociale non expurgé contient toujours le numéro de sécurité sociale, et toute personne possédant le mot de passe (ou un crack) le lit.

Pourquoi le bouton « expurger » de mon outil ne fait-il qu’une boîte noire ? De nombreux éditeurs de base implémentent une mise en évidence/mise en boîte de style annotation plutôt qu’une véritable expurgation du flux de contenu. Si l’outil ne peut pas vous montrer un résultat de recherche propre par la suite, c’est qu’il dessine, et non qu’il expurge.

Tout le travail se résume à une seule affirmation vérifiable : une fois que vous avez terminé, les caractères sensibles ne doivent pas exister dans le fichier. Recherchez-les, sélectionnez-les, extrayez le texte — si l’une de ces opérations trouve le numéro, l’expurgation a échoué. Dessinez la boîte, supprimez les octets, vérifiez sur le fichier enregistré, nettoyez les métadonnées et gardez un document maître propre. Cette séquence — rien de moins — est ce que signifie « expurgé ».