Journalistes et sources : ce qui trahit un document avant sa publication

Quand un document sort d'une organisation, ce qu'on lit sur la page n'en est qu'une partie. À l'intérieur peuvent se trouver le nom de la personne qui l'a écrit, celui de son entreprise, qui l'a modifié ensuite et pendant combien de temps, et sur un papier scanné, des marques invisibles à l'œil nu. Pour une source, cela peut faire la différence entre l'anonymat et son absence.

Ce que contient un document Office ou un PDF

Dans un Word, un Excel ou un PowerPoint : l'auteur, la personne qui l'a modifié en dernier, l'entreprise, le nombre de révisions, le temps total d'édition, le modèle et les dates. Le programme les remplit lui-même avec les données du compte de la personne qui l'utilise.
Dans un PDF : l'auteur, le titre, le programme qui l'a créé et celui qui l'a converti, les dates et, souvent, un bloc XMP qui répète tout cela et ajoute parfois l'historique.
Dans les images qu'il contient : une photo collée dans un document peut conserver ses propres métadonnées, avec son GPS.

Un cas : le dossier sur l'Irak

En 2003, le gouvernement britannique a publié sur son site, au format Word, un rapport sur l'Irak dont on a appris ensuite qu'il était en partie copié d'un travail universitaire. Le chercheur Richard M. Smith a extrait de l'intérieur du fichier son journal des révisions, invisible sur la page, avec les noms d'utilisateur des personnes qui l'avaient modifié ; un journaliste les a identifiées comme des fonctionnaires de Downing Street et du Foreign Office. Smith l'a publié le 30 juin 2003.

Tout n'est pas métadonnées : les scans

Scanner ou photographier un papier n'efface pas les traces : cela les transforme. Beaucoup d'imprimantes laser couleur ajoutent sur chaque page de petits points jaunes presque invisibles qui codent des données sur l'imprimante et sur l'impression.

En 2017, The Intercept a publié un document scanné de la NSA. Des journalistes et des experts en sécurité ont ensuite signalé que ces points étaient visibles sur l'image publiée. L'accusation contre Reality Winner, l'analyste qui l'avait fait fuiter, s'est appuyée sur d'autres preuves — qui avait imprimé le document, son contact avec le média et les plis du papier —, et elle a été arrêtée deux jours avant la parution de l'article. Mais l'affaire a laissé une leçon : ce que l'on publie d'une source peut en dire sur elle plus qu'il n'y paraît.

Avant de publier ou d'envoyer un document

Regardez ce qu'il contient. Faites glisser le Word, l'Excel, le PowerPoint ou le PDF dans KillEXIF : vous verrez l'auteur, l'entreprise, les dates et le reste. L'analyse se fait dans votre navigateur et le document ne quitte pas votre appareil, ce qui est justement ce qui compte avec un document sensible.
Nettoyez le fichier, pas une capture d'écran. KillEXIF retire les propriétés du document sans toucher à son contenu, puis vérifie qu'il ne reste rien.
Un caviardage n'est pas toujours un caviardage. Un rectangle noir posé sur un texte dans un PDF peut ne le masquer qu'à la vue : le texte reste dessous et peut être copié. Ce ne sont pas des métadonnées, et aucun outil de métadonnées ne règle cela ; il faut réellement supprimer le texte.
S'il s'agit d'un papier, publiez-le transcrit ou reproduit, pas l'image de l'original, et pensez à ce que révèle le contenu lui-même : qui avait accès à ce document précis.