Comment vérifier si un site PDF envoie votre fichier sur un serveur

Ouvrez les outils de développement du navigateur, choisissez le panneau Réseau et lancez l’outil avec un fichier de test : un envoi apparaît comme une requête POST ou PUT qui emporte le fichier. Ou bien chargez la page, coupez le réseau et relancez l’outil. S’il donne encore un résultat, le travail s’est fait sur votre appareil.

Mis à jour le

Quels signes montrent d’emblée qu’un site envoie les fichiers ?

Avant tout test, la page le dit souvent elle-même. Ces signes indiquent que votre fichier part vers un serveur :

  • Une barre de progression ou un pourcentage accompagné d’une mention comme « Envoi en cours », qui ralentit quand la connexion est lente.
  • Une promesse du type « vos fichiers sont supprimés au bout de 2 heures ». Un fichier ne peut être supprimé que d’un endroit où il a été envoyé.
  • Une limite de taille de fichier qui disparaît quand vous payez, ou l’obligation de vous connecter avant de pouvoir télécharger le résultat.
  • Un lien de téléchargement qui pointe vers une adresse web sur un serveur, et qui fonctionne encore quand on l’ouvre sur un autre appareil.

Comment faire le test hors ligne ?

C’est le test le plus simple, et il fonctionne aussi sur un téléphone. Utilisez un fichier qui ne contient rien de privé.

Un résultat obtenu sans connexion a été produit sur votre appareil : il n’y avait nulle part où envoyer le fichier. Si l’outil échoue hors ligne, c’est que le site a besoin de son serveur pour quelque chose. Le plus souvent, c’est pour le fichier lui-même ; parfois, seulement pour du code que la page n’avait pas encore chargé, ce que le test suivant permet de distinguer.

  • Ouvrez la page de l’outil et attendez qu’elle soit entièrement chargée.
  • Coupez le réseau : mode avion sur un téléphone, ou Wi-Fi désactivé et câble débranché sur un ordinateur.
  • Choisissez un PDF et lancez l’outil.
  • Voyez si vous obtenez un résultat que vous pouvez ouvrir, puis rétablissez le réseau.

Comment observer le panneau Réseau dans Chrome, Firefox ou Safari ?

Tous les navigateurs pour ordinateur savent énumérer chaque requête que fait une page. Ouvrez d’abord le panneau, puis utilisez l’outil, pour que rien ne vous échappe.

Dans Chrome : appuyez sur F12, ou ouvrez le menu à trois points, puis Plus d’outils, puis Outils de développement, et choisissez l’onglet Réseau. Dans Firefox : appuyez sur F12, ou ouvrez le menu, puis Outils supplémentaires, puis Outils de développement web, et choisissez Réseau. Dans Safari sur Mac : ouvrez Safari, puis Réglages, puis Avancées, et activez l’option qui affiche les fonctionnalités pour les développeurs web ; choisissez ensuite Développement, Afficher l’inspecteur web, puis l’onglet Réseau.

Chrome et Firefox ont aussi, dans ce panneau, un menu de limitation du débit, réglé normalement sur l’absence de limitation, qui propose un mode hors ligne : une façon de faire le test hors ligne pour un seul onglet.

  • Le panneau Réseau ouvert, videz la liste pour qu’elle parte de zéro.
  • Choisissez un PDF de test de quelques mégaoctets et lancez l’outil. Avec un fichier plus gros, un envoi se repère plus facilement.
  • Guettez les nouvelles lignes au moment où vous choisissez le fichier et où vous appuyez sur le bouton. Aucune nouvelle ligne, ou seulement de petites lignes pour les scripts et les images de la page, signifie que rien n’a été envoyé.
  • Regardez la colonne Méthode (si elle est masquée, faites un clic droit sur les en-têtes de colonnes pour l’ajouter). Un envoi est une requête POST ou PUT, parfois plusieurs à la suite pour un seul fichier découpé en morceaux.
  • Cliquez sur une telle ligne. Dans ses en-têtes, le Content-Length de la requête avoisine la taille de votre fichier, et le type de contenu est souvent multipart/form-data. La ligne dure aussi d’autant plus longtemps que le fichier est gros.
  • Vérifiez le domaine ou l’adresse de chaque ligne. Les requêtes vers les adresses d’autres entreprises montrent qui d’autre apprend que vous êtes passé par là.

Que fait la page de cette app quand on la teste ?

PDF Case réussit les deux tests, et vous êtes invité à les faire. Le panneau Réseau ouvert, choisir un fichier et lancer un outil n’ajoute aucune requête qui emporte le fichier : le PDF est lu depuis votre disque dans la mémoire de la page, traité par du code déjà chargé, puis rendu sous forme d’un téléchargement créé dans le navigateur.

Deux éléments de la page en font plus qu’une simple habitude. D’abord, chaque page porte une politique de sécurité du contenu, un ensemble de règles que le navigateur lui-même fait respecter. Ces règles disent que la page ne peut se connecter qu’à l’adresse d’où elle a été chargée, ne peut charger des scripts, des polices et des images que depuis celle-ci, et ne peut envoyer de formulaire nulle part. Un script de la page qui tenterait d’envoyer des données à un autre site serait arrêté par le navigateur. Vous pouvez lire cette politique en affichant le code source de la page et en cherchant Content-Security-Policy vers le début.

Ensuite, un service worker, un petit auxiliaire que le navigateur garde pour le site, enregistre les fichiers de l’app sur votre appareil dès la première visite. Les pages et les outils s’ouvrent ensuite à partir de cette copie, ce qui explique qu’ils fonctionnent sans réseau. Le site, derrière, ne sert que des fichiers fixes ; il n’y a aucun programme serveur pour recevoir un document.

Que ne disent pas ces tests ?

Le test hors ligne montre où le travail se fait, pas ce qu’une page pourrait envoyer plus tard, une fois la connexion revenue. C’est pourquoi le panneau Réseau mérite aussi un coup d’œil : laissez-le ouvert, reconnectez-vous et voyez si quelque chose de volumineux s’en va.

Aucun des deux tests ne dit ce qu’un site fait d’un fichier une fois qu’il l’a reçu. Pour un site qui envoie les fichiers sur son serveur, il ne vous reste que sa politique de confidentialité, que vous pouvez lire mais pas vérifier.

Les outils pour cela

Les fichiers sont traités sur cet appareil et ne sont jamais envoyés en ligne.

Questions

Le HTTPS ou le cadenas signifient-ils que mon PDF n’est pas envoyé ?
Non. Le HTTPS protège seulement les données pendant leur trajet entre votre navigateur et le site. Un site affichant un cadenas peut tout aussi bien envoyer votre fichier sur son serveur ; le cadenas signifie que personne d’autre sur le réseau ne peut le lire en chemin.
Puis-je vérifier sur un téléphone, où il n’y a pas d’outils de développement ?
Oui, avec le test hors ligne. Chargez la page de l’outil, activez le mode avion, puis choisissez un fichier et lancez l’outil. Si un résultat apparaît, le fichier a été traité sur le téléphone.
Un outil qui fonctionne hors ligne pourrait-il quand même envoyer mon fichier plus tard ?
En principe, une page pourrait garder des données et les envoyer au retour de la connexion. Pour l’exclure, gardez le panneau Réseau ouvert après vous être reconnecté et cherchez une grosse requête POST ou PUT. Sur PDF Case, le navigateur bloque en outre les connexions vers tout autre site.
PDF Case envoie-t-il mon PDF sur un serveur ?
Non. Chaque outil s’exécute dans votre navigateur, sur votre appareil. Les pages portent une politique qui ne les laisse se connecter qu’à leur propre adresse, laquelle sert des fichiers fixes, et les outils continuent de fonctionner sans réseau une fois la page chargée.
Un site qui envoie les fichiers sur son serveur est-il dangereux ?
Pas forcément. Beaucoup traitent les fichiers avec soin et les suppriment comme promis. La différence, c’est qu’il faut croire cette promesse sur parole, alors que le traitement sur votre propre appareil est une chose que vous pouvez vérifier vous-même.

Guides associés