Comment vérifier si un PDF a été modifié (sans le fichier original)

Une des questions les plus courantes en vérification de documents : Comment savoir si un PDF a été modifié quand vous n'avez pas l'original pour comparer ? Bien qu'il n'y ait pas de réponse parfaite, l'analyse forensique peut révéler des signes révélateurs de modification.

Le défi de la vérification sans original

Quand vous avez le document original, la vérification est simple—comparez les deux fichiers. Mais dans la plupart des scénarios réels, vous n'avez que le document en question. C'est là que l'analyse forensique devient essentielle.

Indicateurs clés d'édition PDF

1. Horodatages des métadonnées

Les métadonnées PDF peuvent contenir des dates de création et de modification. Ces valeurs facultatives et modifiables décrivent un traitement du fichier, pas une chronologie vérifiée :

• CreationDate : Quand le PDF a été créé pour la première fois
• ModDate : Quand il a été modifié pour la dernière fois

Ce qu'il faut chercher :

• Des dates différentes peuvent refléter un export, une numérisation, une mise à jour des métadonnées ou un autre traitement. Elles ne prouvent pas à elles seules un changement du contenu visible.
• Un long intervalle ne mesure ni le volume ni l’importance d’un changement de contenu.
• Avant d’interpréter une date future, vérifiez les fuseaux horaires, l’horloge de l’appareil et les valeurs conservées par le logiciel.

2. Signatures logicielles multiples

Les PDF suivent le logiciel utilisé pour les créer et les modifier :

• Creator : L'application qui a créé le contenu original (ex. Word, InDesign)
• Producer : Le logiciel qui a créé/modifié le PDF lui-même (ex. Adobe PDF Library)

Signaux d'alarme :

• Différentes applications Creator et Producer
• Des valeurs Creator et Producer différentes sont normales quand la création du contenu et la génération PDF utilisent des composants distincts.
• Outils d'édition grand public pour documents "officiels"

3. Mises à jour incrémentielles

Quand les PDF sont modifiés, de nombreuses applications ajoutent des changements plutôt que de réécrire le fichier :

• Plusieurs occurrences de %%EOF sont un indice préliminaire, pas un compteur fiable de modifications. Il faut analyser la chaîne des références croisées ; ce texte peut aussi se trouver dans d’autres données.
• Taille de fichier plus grande que prévu pour le contenu
• Traces de révision dans la table de références croisées

4. Anomalies structurelles

L'analyse technique peut révéler :

• Objets orphelins (restes de contenu supprimé)
• Numérotation d'objets incohérente
• Modèles de références croisées inhabituels

Processus de vérification étape par étape

Étape 1 : Vérification rapide des métadonnées

Ouvrez les propriétés du PDF (clic droit → Propriétés ou Fichier → Propriétés) :

• Notez les dates de création et modification
• Vérifiez les informations sur l'auteur et le logiciel
• Cherchez quelque chose d'inattendu

Étape 2 : Comparez les dates avec le contexte

Demandez-vous :

• La date de création correspond-elle à quand le document devrait avoir été fait ?
• La date de modification a-t-elle du sens ?
• Y a-t-il un écart qui suggère une édition ?

Étape 3 : Analysez les signatures logicielles

Considérez :

• Ce document serait-il logiquement créé dans le logiciel affiché ?
• Le Producer correspond-il à ce que vous attendez ?
• Y a-t-il des signes de plusieurs outils utilisés ?

Étape 4 : Utilisez des outils forensiques

Pour une analyse approfondie, utilisez des outils qui peuvent :

• Détecter les mises à jour incrémentielles
• Compter les marqueurs EOF
• Analyser la structure des objets
• Indicateurs heuristiques de vérification ; le score n’est pas une probabilité calibrée de fraude.

Ce que l'analyse forensique peut et ne peut pas vous dire

Peut révéler :

• Qu'un document a été modifié après création
• Quel logiciel a été utilisé pour les modifications
• Chronologie approximative des changements
• Si plusieurs sessions d'édition ont eu lieu

Ne peut pas prouver :

• Quel contenu spécifique a été changé
• Qui a fait les changements
• Si les changements étaient malveillants
• Qu'un document est 100% authentique (l'absence de signes ne signifie pas sans édition)

Scénarios réels

Vérification de contrat

Un contrat daté du mois dernier montre :

• CreationDate : il y a 3 mois
• ModDate : la semaine dernière

Les métadonnées décrivent un traitement possible, pas la véracité du document. Demandez l’export source ou confirmez le détail pertinent auprès de l’émetteur avant de conclure.

Vérification de CV

Le diplôme d'un candidat montre :

• Creator : Adobe Photoshop
• Producer : Adobe Acrobat

Les métadonnées décrivent un traitement possible, pas la véracité du document. Demandez l’export source ou confirmez le détail pertinent auprès de l’émetteur avant de conclure.

Documents financiers

Un relevé bancaire montre :

• Marqueurs de révision multiples
• Producer : Generic PDF Writer

Les métadonnées décrivent un traitement possible, pas la véracité du document. Demandez l’export source ou confirmez le détail pertinent auprès de l’émetteur avant de conclure.

Limites à comprendre

Faux positifs

Les signes d'édition ne signifient pas toujours une fraude :

• Les corrections légitimes créent des traces de modification
• Les conversions de format changent les métadonnées
• Certains flux de travail produisent naturellement plusieurs révisions

Faux négatifs

La manipulation sophistiquée pourrait :

• Utiliser des outils qui minimisent les traces
• Régénérer tout le document
• Manipuler les métadonnées pour paraître propres

Le contexte compte

Considérez toujours :

• L'origine supposée du document
• Les pratiques normales dans cette industrie
• Les enjeux impliqués

Meilleures pratiques

Pour la vérification

1. Ne comptez pas sur un seul indicateur — Cherchez plusieurs signes
2. Considérez le contexte — Qu'est-ce qui est normal pour ce type de document ?
3. Documentez vos découvertes — Gardez des enregistrements de ce que vous avez vérifié
4. Demandez de l'aide professionnelle pour les documents importants — Quand c'est important, utilisez des experts

Pour la sécurité des documents

1. Demandez des originaux quand c'est possible — Obtenez des documents directement des sources
2. Utilisez des signatures numériques — Elles fournissent des preuves de falsification
3. Vérifiez par des canaux alternatifs — Confirmez avec l'organisation émettrice

Conclusion

Bien que vous ne puissiez pas prouver définitivement qu'un PDF n'a pas été modifié sans l'original, l'analyse forensique peut révéler de forts indicateurs de modification. La clé est de comprendre quoi chercher et d'interpréter les découvertes dans leur contexte.

Points clés :

• Les horodatages des métadonnées sont votre premier indice
• Les signatures logicielles multiples suggèrent un traitement
• Les mises à jour incrémentielles indiquent des sessions d'édition
• Le contexte est crucial pour l'interprétation

Pour les documents qui comptent, une analyse approfondie utilisant des outils spécialisés fournit la meilleure vision de l'histoire d'un PDF.

Examinez les traces PDF avec CleanPDF et interprétez les indices dans leur contexte. Le score ne certifie pas l’authenticité.

Références techniques : structure PDF, validation des signatures dans Acrobat.