Mis à jour le 2 août 2026
Un PDF n'est pas une image figée : c'est un format documenté, qui conserve beaucoup plus d'informations sur son propre passé que ce que la page affiche. Voici ce qu'il garde, et ce qu'on peut en déduire.
Quand un logiciel enregistre une modification, il peut réécrire tout le fichier, ou bien ajouter les objets modifiés à la fin en laissant intact ce qui précède. Le second mode — la mise à jour incrémentale — est le mode par défaut de plusieurs éditeurs, et c'est une aubaine pour l'analyse : chaque révision est un instantané conservé.
Un fichier à trois révisions a donc été enregistré trois fois. On peut le tronquer à la fin de la première pour obtenir l'état d'origine, puis comparer.
Supprimer un élément dans un éditeur PDF le retire de l'affichage, pas nécessairement du fichier. L'objet devient orphelin : plus référencé, toujours présent. Retrouver dans les octets un ancien montant, une ancienne adresse ou un logo qui n'apparaît plus est un indice fort.
Un PDF peut porter ses métadonnées à deux endroits : le dictionnaire Info, historique, et un flux XMP en XML. Beaucoup d'outils mettent à jour l'un et oublient l'autre.
Une divergence entre les deux — dates différentes, producteurs différents — révèle un traitement par un outil qui n'a pas nettoyé derrière lui. XMP conserve parfois un DocumentID et un historique de versions plus bavards que le champ Producer.
Les champs de métadonnées sont du texte libre : n'importe qui peut écrire le producteur de son choix. Un fraudeur averti remet la bonne valeur après modification.
C'est pourquoi les indices structurels comptent davantage : l'ordre des objets, le style de compression, la façon dont la table de références croisées est écrite. Ces détails-là sont produits par le code de la bibliothèque qui a écrit le fichier, et un fraudeur ne les reproduit pas en changeant une chaîne de caractères. Un fichier qui annonce un producteur mais dont la structure correspond à un autre est un cas intéressant.
Il faut le dire clairement : la plupart des PDF modifiés le sont pour des raisons parfaitement banales — compression avant envoi, ajout d'une signature, fusion de plusieurs documents, aplatissement d'un formulaire, passage par un outil d'archivage.
Détecter une modification ne fait donc que déplacer la question : qu'est-ce qui a été modifié, et est-ce que cela porte sur une donnée qui compte ? C'est la conjonction de plusieurs signaux sur la même zone du document qui fait un dossier, pas un signal isolé.
Analyser un document gratuitement