La preuve

Rien n'est envoyé

Le document est lu par votre navigateur, dans l'onglet ouvert. La détection, la revue, la reconstruction du fichier et son contrôle s'y font aussi. Il n'y a pas de serveur de traitement : il n'y a nulle part où envoyer le document.

Les seules requêtes de la page sont des lectures de ce site : les pages, le code, les polices standard du format PDF et, si vous le demandez, le modèle des noms, une fois, vérifié par son empreinte puis rangé sur votre poste. Pas de compte, pas de cookie, pas de mesure d'audience. La seule requête qui ne soit pas une lecture est le compteur, décrit plus bas. Le serveur ne tient pas de journal d'accès.

Le vérifier vous-même

1. Coupez le réseau

   Chargez la page, puis coupez le Wi-Fi ou débranchez le câble. Déposez un document, tranchez, produisez le fichier : tout va au bout.

2. Regardez l'onglet Réseau

   Ouvrez les outils de développement (F12), onglet « Réseau », avant de déposer le document. Pendant le travail, aucune ligne ne s'ajoute ; à l'enregistrement du fichier, une seule, /compte, le compteur décrit ci-dessous. L'atelier montre aussi sa propre liste, sous la revue ; mais une page pourrait mentir sur elle-même, l'onglet du navigateur non.

3. Lisez la politique de sécurité

   Chaque page porte une politique de sécurité du contenu que le navigateur fait respecter. La ligne qui compte : connect-src 'self'. Elle interdit toute connexion vers un autre site, même si le code de la page le demandait.

La seule chose qui part : un compteur

Quand vous enregistrez un fichier caviardé, ou qu'un document a été vérifié, votre navigateur envoie à ce site une requête, et une seule : POST /compte?f=caviardage&p=12. Elle dit s'il s'agit d'un caviardage ou d'une vérification, et combien de pages avait le document. Rien d'autre : pas un mot du document, pas une valeur masquée, pas un nom de fichier, pas un identifiant.

Le serveur n'écrit qu'une ligne : la date, la famille, le nombre de pages. Ni adresse IP, ni navigateur, ni page d'origine : deux documents de la même personne sont indistinguables de deux documents d'inconnus. Le total est publié tel quel sur l'accueil.

Un navigateur qui demande à ne pas être suivi (Do Not Track, Global Privacy Control) n'envoie rien. Hors ligne, rien ne part, et rien n'est gardé pour plus tard. La version auto-hébergée est construite sans compteur. Dans tous les cas, l'outil fonctionne à l'identique.

Disons-le sans détour : nous enregistrons le nombre de documents caviardés et vérifiés, et leur nombre de pages. Rien dans ces lignes ne dit qui les a traités, ni d'où, ni ce qu'ils contenaient.

Ce qui est masqué n'existe plus dans le fichier

Le fichier produit est un document neuf. Le document d'origine n'est jamais modifié puis réenregistré : c'est ainsi que des documents caviardés ont été décaviardés, par la version d'avant restée dans le fichier.

Le modèle des noms

Les noms sont proposés par un modèle de reconnaissance d'entités, CamemBERT-NER (licence MIT), entraîné sur le français. Il ne se télécharge que si vous le demandez, depuis ce site et non depuis un tiers, une fois : chaque fichier est vérifié par son empreinte SHA-256 avant d'être rangé dans un espace que le navigateur réserve à ce site, sur votre poste. Il ne lit que le texte de la page ouverte, dans l'onglet.

La bibliothèque qui le fait tourner n'a pas le droit d'aller sur le réseau : sa fonction de téléchargement est remplacée par une fonction qui refuse, et elle ne lit que les fichiers déjà vérifiés. Les empreintes publiées ici sont celles que l'outil vérifie.

Modèle : Xenova/camembert-ner, révision 8e1988247e87.

Le contrôle de sortie

Avant de vous proposer le fichier, l'outil le relit par des chemins indépendants de celui qui l'a écrit : le texte, par un second lecteur PDF ; les objets du fichier, parcourus un à un, chaque flux décompressé. Chaque élément masqué y est cherché sous toutes ses formes (espaces, accents, majuscules). La structure est vérifiée : ni annotation, ni formulaire, ni signet, ni pièce jointe, ni métadonnée, et une seule version.

S'il retrouve quoi que ce soit, le fichier n'est pas proposé, et l'écran dit ce qui a été retrouvé et où.