Conversion de fichiers dans le navigateur et confidentialité : ce qu'il advient vraiment de vos documents
La conversion de documents semble une corvée banale jusqu'à ce que le document soit un contrat, un rapport médical ou un brouillon sous NDA. Chaque clic compte alors, et la question n'est plus de savoir si l'outil est rapide, mais où va réellement le fichier. Les convertisseurs cloud et les convertisseurs navigateur répondent très différemment à cette question — et la différence est vérifiable, pas une affaire de foi.
Cet article parcourt le flux de données réel de la conversion cloud, le modèle de menace pour les fichiers sensibles, le fonctionnement interne de la conversion purement côté client et — surtout — comment vérifier vous-même les affirmations avec rien d'autre que les outils de développement de votre navigateur. Il se termine par les limites honnêtes de l'approche locale et ce que la minimisation des données signifie en pratique.
Ce qui arrive vraiment à un fichier que vous téléversez
Un convertisseur cloud typique fait plus que ce que sa page marketing laisse entendre. Le fichier est d'abord téléversé via TLS vers les serveurs du fournisseur. Le traitement s'effectue ensuite sur des machines que vous ne contrôlez pas, souvent sur une infrastructure mutualisée. Le résultat doit vous revenir, ce qui implique généralement au moins un passage supplémentaire par un serveur, et les copies de travail — originale et convertie — vivent quelque part entre les deux.
Ce quelque part est régi par la politique de rétention du fournisseur, qui peut supprimer les fichiers en quelques minutes ou les conserver bien plus longtemps, et par la juridiction du centre de données. De nombreux services dépendent aussi de tiers pour le stockage, les files d'attente, la journalisation et l'analytique. Chaque relais est une partie de plus qui détient brièvement votre document, une condition de plus que vous n'avez pas négociée individuellement.
Un modèle de menace pour les documents sensibles
Pour une collection de recettes, tout cela est sans importance. Pour un contrat non publié, un dossier patient, un dossier de litige ou un manuscrit sous NDA, le calcul change. La menace est rarement un opérateur malveillant lisant votre PDF ; c'est l'accumulation de copies — sur les disques, dans les sauvegardes, dans les journaux — que vous ne pouvez ni énumérer, ni supprimer à la demande, ni auditer.
Le contenu sensible a aussi une durée de vie plus longue que prévu. Un document inoffensif aujourd'hui peut devenir commercialement ou juridiquement délicat dans deux ans, et les politiques de rétention sont rédigées par la partie qui détient les données, pas par celle qui les a créées. La seule politique de rétention que vous contrôliez pleinement est celle où le fichier ne quitte jamais votre appareil.
Comment fonctionne la conversion côté client
La conversion dans le navigateur inverse le flux : c'est le moteur qui voyage vers le fichier, et non l'inverse. Le site charge un moteur de conversion — ici le véritable Pandoc compilé en WebAssembly — dans votre navigateur. WebAssembly s'exécute dans le même bac à sable de sécurité que le JavaScript ordinaire : aucun accès à votre système de fichiers, aucune autorité réseau propre, et aucun moyen de communiquer vers l'extérieur sauf si la page ouvre explicitement une connexion.
La conversion elle-même s'exécute dans un Web Worker, un fil d'exécution d'arrière-plan séparé de l'interface de la page. Votre document est remis au worker sous forme d'octets en mémoire, analysé, transformé puis renvoyé ; rien n'est écrit sur le disque au-delà du téléchargement que vous déclenchez, et aucun aller-retour serveur n'est nécessaire. À la fin de la conversion, ces octets sont récupérés par le ramasse-miettes comme n'importe quelle variable.
Vérifiez-le vous-même
Ces affirmations sont testables en deux minutes environ. Ouvrez les outils de développement de votre navigateur, passez au panneau Réseau, chargez une page de convertisseur et déposez un fichier. Pendant une conversion côté client, le panneau reste vide — pas de POST, pas de progression de téléversement, pas de requête mystérieuse vers un point de terminaison d'API. Tout ce que vous voyez correspond aux ressources chargées par la page elle-même.
Deux vérifications plus fortes suivent. Premièrement, une fois le moteur récupéré et mis en cache, chargez le site, passez hors ligne via les DevTools ou en vous déconnectant, et convertissez à nouveau — cela fonctionne toujours, ce qui n'est possible que si rien n'a besoin du réseau. Deuxièmement, parcourez l'onglet Application : le Cache Storage montre le moteur mis en cache, et vous pouvez confirmer qu'aucune file de téléversements en attente n'existe nulle part. Faites ce test sur tout outil qui prétend être local ; faites confiance au panneau, pas à la promesse.
Les limites honnêtes
La conversion locale n'est pas magique, et l'exagérer n'aide personne. Le moteur lui-même — des dizaines de mégaoctets pour Pandoc — doit être téléchargé une fois, et cette première récupération révèle votre adresse IP et votre agent utilisateur à l'hôte qui le sert, comme toute requête web. Elle dépend aussi de TLS et de l'intégrité du code livré.
D'autres limites sont environnementales. Les extensions de navigateur peuvent lire le contenu des pages, donc une extension hostile sape toute promesse de confidentialité ; des machines compromises compromettent tout ; et une page pourrait en principe changer de comportement après avoir gagné votre confiance. La posture raisonnable est de vérifier site par site, de limiter les extensions pour le travail sensible et de revérifier après les mises à jour majeures.
Ce que ce site stocke localement
Sur ce site, l'état stocké est délibérément réduit. Le moteur Pandoc WebAssembly est mis en cache dans le Cache Storage pour que les conversions fonctionnent hors ligne après la première utilisation, et l'interface conserve une préférence comme votre choix de thème dans le stockage local. C'est l'intégralité de l'inventaire.
Vos documents n'existent qu'en mémoire pendant l'exécution d'une conversion, et la sortie n'atteint votre disque que parce que vous avez cliqué sur télécharger. Il n'y a aucun compte à supprimer, aucune copie côté serveur dont demander la suppression, et aucune trace analytique de ce que vous avez converti. Fermer l'onglet ne laisse rien derrière, hormis le moteur en cache et votre thème.
Pourquoi les régulateurs aiment la minimisation des données
Le droit de la protection des données contient un principe qui correspond parfaitement à cette architecture. La minimisation des données du GDPR exige que les données personnelles soient limitées au nécessaire — et un convertisseur qui ne reçoit jamais le document y satisfait presque par construction. Si aucun fichier ne traverse le réseau, il n'y a aucun sous-traitant à évaluer, aucun accord de traitement des données à signer et aucun transfert transfrontalier à analyser pour l'étape de conversion elle-même.
Ceci n'est pas un avis juridique, et cela ne rend pas chaque flux de travail conforme — le contenu doit toujours être traité licitement partout où il est stocké. Mais déplacer la transformation vers le client supprime toute une catégorie d'exposition aux tiers de l'évaluation des risques, c'est pourquoi les équipes soucieuses de la confidentialité, les hôpitaux et les cabinets d'avocats exigent de plus en plus des outils qui gardent les fichiers sur l'appareil.