Méthodologie

Matrice de capacités

Ce tableau est généré à partir de la configuration même que lisent l’analyseur et les nettoyeurs. Si une ligne indique Non, le produit ne peut faire cette affirmation nulle part dans l’interface.

Pour la version complète — chaque format, les parties de chaque conteneur qui sont ouvertes, ce qui n’est pas couvert, et la validation datée qui étaye chaque affirmation — voir la matrice de capacités.

Comment fonctionne le traitement

Quand vous sélectionnez un fichier, le navigateur le lit en mémoire et transmet les octets à un Web Worker qui s’exécute sur votre propre appareil. Le worker identifie le format réel à partir de ses octets magiques — jamais à partir de l’extension ni du type MIME annoncé —, parcourt la structure du conteneur et extrait les blocs de métadonnées qu’il reconnaît.

Le nettoyage réécrit le conteneur sans les structures de métadonnées et recopie telles quelles les données d’image compressées. Rien n’est décodé et rien n’est réencodé : les pixels du fichier produit sont donc identiques bit à bit à ceux du fichier d’origine.

Les octets nettoyés sont ensuite analysés une seconde fois, et le rapport avant/après que vous voyez est la différence entre ces deux analyses. Un signal n’est déclaré supprimé que parce qu’une nouvelle analyse ne le trouve plus — jamais parce qu’un nettoyeur l’a affirmé.

Ce que nous conservons volontairement

Profils de couleur. Les profils ICC ne contiennent aucune information personnelle ni de provenance, et en supprimer un modifie visiblement les couleurs d’une image. Nous les signalons comme détectés et volontairement conservés.

Rotation de l’image. Les téléphones enregistrent l’orientation dans une balise EXIF plutôt que de faire pivoter les pixels. La retirer fait s’afficher les photos en mode portrait de côté. Quand un fichier porte une rotation, nous conservons exactement ce seul champ, nous l’indiquons dans le rapport, et nous proposons un interrupteur pour le supprimer quand même.

Données structurelles. En-têtes JFIF, marqueurs Adobe de transformation des couleurs, et chaque bloc critique nécessaire pour décoder l’image.

Les trois statuts

Détecté — le signal a été trouvé dans le fichier.

Non détecté — nous avons inspecté les endroits où ce signal se trouve et il n’y était pas. Nous n’employons ce statut que là où l’absence peut réellement être établie.

Impossible à vérifier — nous n’avons aucun moyen de regarder. SynthID affiche ce statut sur chaque image, de façon permanente, car le détecter exige le propre détecteur de Google. Ce n’est pas une forme atténuée de « non détecté » ; c’est une affirmation sur nos instruments et non sur votre fichier, et ce statut n’apparaît jamais dans une liste de suppressions.

Limites connues

• Les manifestes C2PA sont détectés et partiellement lus, mais les signatures ne sont pas vérifiées par rapport à une liste de confiance. Nous ne déclarons jamais un manifeste valide ou invalide.
• Les Content Credentials durables peuvent être réassociés à une image par un fournisseur après la suppression du manifeste, au moyen d’un filigrane invisible ou d’une empreinte du contenu. Supprimer un manifeste nettoie votre copie du fichier, pas les enregistrements détenus par d’autres.
• Les filigranes intégrés aux pixels, comme SynthID, ne sont ici ni détectables ni supprimables.
• Les filigranes statistiques de texte ne sont détectables côté client par personne, nous compris. Nous proposons une réécriture facultative pour le texte collé, qui le reformule pour tenter d’en perturber un. C’est la seule fonction de ce site qui envoie quoi que ce soit où que ce soit : elle vous le demande à chaque fois, vous montre d’abord le contenu exact envoyé, et n’envoie que le texte que vous avez collé — jamais un fichier. Elle utilise le niveau payant de Gemini, pour lequel Google n’entraîne pas ses modèles sur le texte, bien que celui-ci soit enregistré jusqu’à 55 jours pour la détection des abus — voir confidentialité. Comme nous n’avons pas de détecteur, son résultat est indiqué comme « Réécrit — non vérifié » et n’est jamais compté comme une suppression.
• Nous pouvons analyser les fichiers JPG, PNG, WebP, SVG, Markdown et PDF, et nous pouvons tous les nettoyer. Un PDF est nettoyé en reconstruisant le document plutôt qu’en y ajoutant une mise à jour, si bien que les révisions antérieures ne survivent pas, et un PDF dont la structure ne peut pas être reconstruite sans risque est refusé plutôt que deviné. Les PDF chiffrés sont signalés et laissés tels quels. AVIF, HEIC, GIF, TIFF, l’audio et la vidéo ne sont pas pris en charge du tout.
• Dans un fichier Markdown, nous supprimons les clés de frontmatter qui décrivent comment le document a été produit — générateur, modèle, prompt, auteur, dates — et laissons les clés qui pilotent la génération de votre site, comme le titre, les tags et la mise en page. Quand le frontmatter utilise des ancres YAML, une clé peut dépendre d’une autre : nous signalons alors ce qui est présent et ne modifions rien.
• Dans un SVG, les images intégrées sous forme d’URI data sont extraites et nettoyées sur place, si bien que les métadonnées d’un JPEG imbriqué sont supprimées plutôt qu’ignorées. Un SVG qui fait référence à une image sur un autre serveur voit cette référence supprimée — ce contenu n’a jamais été dans votre fichier, et le récupérer révélerait votre adresse IP à ce serveur.
• Les très gros fichiers sont limités par la mémoire du navigateur plutôt que par une contrainte de serveur, puisqu’il n’y a pas de serveur.

Vérifier vous-même notre engagement de confidentialité

Chargez n’importe quelle page d’outil, déconnectez-vous d’Internet, puis analysez et nettoyez un fichier. Tout fonctionne, parce que le traitement a toujours été local. Vous pouvez aussi ouvrir le panneau réseau de votre navigateur et l’observer pendant que vous utilisez l’outil : aucune requête ne transporte votre fichier, son contenu, son nom ni quoi que ce soit qui en soit dérivé.