Les convertisseurs en ligne envoient-ils vos fichiers ?

Vous déposez un contrat, le scan de votre passeport ou une photo de famille dans un convertisseur gratuit, et un instant plus tard vous téléchargez le résultat. Ce qui s’est passé entre-temps est généralement invisible. Soit le fichier a voyagé vers un serveur dont vous ne savez rien, soit la page a fait le travail sur votre propre ordinateur. Voici comment le savoir pour n’importe quel site, et ce que nous avons vu en vérifiant le nôtre.

Deux types de convertisseurs en ligne

• Envoi puis conversion. La page envoie votre fichier aux serveurs de l’entreprise, le convertit là-bas et propose le résultat au téléchargement. C’est ainsi que fonctionnent la plupart des convertisseurs, car un serveur peut exécuter n’importe quel logiciel.
• Conversion dans le navigateur. La page télécharge le convertisseur lui-même, compilé en WebAssembly ou s’appuyant sur les moteurs vidéo, image et graphiques du navigateur, et l’exécute sur votre appareil. Le fichier est lu depuis votre disque dans la page et n’est jamais envoyé nulle part.

Le second type n’est devenu praticable que ces dernières années, à mesure que les navigateurs ont gagné un WebAssembly rapide, l’accès aux encodeurs vidéo matériels et à la carte graphique. Tooloat est construit ainsi, comme un nombre croissant d’autres outils.

Pourquoi c’est important

Un fichier envoyé est une copie sur l’ordinateur de quelqu’un d’autre. Beaucoup de services qui reçoivent les fichiers promettent de les supprimer après une à 24 heures, et beaucoup le font sûrement, mais vous ne pouvez pas le vérifier. Entre-temps, la copie peut se retrouver dans des sauvegardes et des journaux, être traitée par les hébergeurs et prestataires de stockage du service dans d’autres pays, et être exposée si le service est piraté. Pour un mème, peu importe. Pour une carte d’identité, un courrier médical ou un contrat sous accord de confidentialité, cela peut compter.

Les politiques diffèrent aussi dans ce qu’elles autorisent. Certains services se réservent le droit d’utiliser les contenus envoyés pour améliorer leurs produits. C’est bon à savoir avant d’envoyer, et facile à manquer dans une longue politique de confidentialité.

Comment vérifier n’importe quel site en une minute

Observer le réseau

1. Sur un ordinateur, ouvrez le convertisseur dans Chrome, Edge ou Firefox et appuyez sur F12 (Cmd + Option + I sur Mac). Ouvrez l’onglet Réseau.
2. Cliquez sur le bouton d’effacement pour vider la liste, puis convertissez un fichier de test, idéalement volumineux, pour repérer facilement son envoi.
3. Regardez la colonne Méthode, ou filtrez par Fetch/XHR. Les téléchargements de code et d’images utilisent GET. Les envois utilisent POST ou PUT.
4. Cliquez sur une requête POST ou PUT et ouvrez son onglet Charge utile. Si vous y voyez le nom de votre fichier, ou une requête de taille proche de celle du fichier, il a été envoyé.

Passer hors connexion

Chargez le convertisseur et lancez-le une fois avec un fichier de test inoffensif, pour que la page ait téléchargé tout ce dont elle a besoin. Puis déconnectez-vous : activez le mode avion, débranchez le câble, ou choisissez Hors connexion dans le menu de limitation de l’onglet Réseau. Convertissez à nouveau. Si cela fonctionne encore, la page ne peut pas envoyer votre fichier. Si cela échoue, cela ne prouve pas un envoi, car certains outils récupèrent du code supplémentaire pour certains fichiers, mais c’est une raison de vérifier le réseau.

Ce que nous avons vu sur notre propre site

Nous avons ouvert le compresseur d’images de tooloat.com dans un nouvel onglet, ajouté un PNG de 7,6 Mo et l’avons compressé pour tenir dans 500 Ko. Il est ressorti à 480 Ko. Voici toutes les requêtes de l’onglet, de l’ouverture de la page au téléchargement du résultat :

Nos pages affichent aussi un compteur dans la barre du haut, « Fichiers : 0 o envoyés ». Il enveloppe les fonctions qu’une page peut utiliser pour envoyer des données, comme fetch, XMLHttpRequest, sendBeacon et WebSocket, et additionne les octets de chaque corps de requête. Il est resté à zéro pendant tout le test. Un clic dessus montre le détail, y compris ce que le code publicitaire de Google envoie à ses propres serveurs, compté à part des outils.

Vous n’avez pas à croire sur parole un compteur affiché sur notre page, c’est tout l’intérêt des étapes ci-dessus. L’onglet Réseau de votre navigateur voit tout ce que la page envoie, quoi qu’elle prétende.

À garder en tête

• Les outils dans le navigateur téléchargent quand même du code. La première visite récupère le convertisseur, et certains outils récupèrent des moteurs supplémentaires de plusieurs mégaoctets. Ce sont des données qui arrivent vers vous, pas qui partent.
• Un même site peut mélanger les deux. Un aperçu peut être créé dans le navigateur tandis que la conversion complète tourne sur un serveur, ou un outil d’un site peut envoyer les fichiers quand un autre ne le fait pas. Vérifiez l’outil que vous utilisez.
• Les extensions du navigateur peuvent lire les pages. Une extension qui a accès à tous les sites peut voir les fichiers ouverts dans une page web, quoi que fasse le site. Utilisez une fenêtre privée sans extensions pour les fichiers sensibles.
• Les téléphones sont plus difficiles à vérifier. Les navigateurs mobiles n’ont pas d’onglet Réseau. Vérifiez sur un ordinateur, ou faites le test hors connexion.