Ce qui arrive vraiment à un fichier que vous « supprimez » d'un site web
« Nous supprimons vos fichiers au bout d'une heure » a beau rassurer, c'est une promesse que vous ne pouvez pas vérifier. Voici ce qui arrive réellement à un fichier téléversé, et la seule version dont vous pouvez être sûr.
Vous téléversez un document sur un outil en ligne, il fait son office, et une ligne rassurante annonce que votre fichier sera supprimé au bout d’une heure. Vous fermez l’onglet, l’esprit tranquille. Mais qu’est-il réellement arrivé à ce fichier, et que signifie vraiment « supprimé » une fois qu’il est sur les serveurs de quelqu’un d’autre ? La question mérite qu’on s’y attarde, car la réponse confortable et la réponse honnête ne sont pas les mêmes.
« Supprimé » est une promesse, pas une garantie
Voici le problème de fond : dès lors que votre fichier se trouve sur un serveur que vous ne contrôlez pas, vous n’avez aucun moyen de vérifier quoi que ce soit à son sujet. Le message « supprimé au bout d’une heure » est une déclaration de principe. Vous lui faites confiance comme à n’importe quelle phrase sur un site web. Il n’y a aucun reçu, aucune confirmation, aucun moyen pour vous de vérifier que cela a vraiment eu lieu.
Cela ne veut pas dire que chaque service ment. Beaucoup essaient sincèrement de supprimer les fichiers dans les temps. Le point est plus étroit et plus difficile : vous ne pouvez pas le confirmer. Vous le prenez sur la foi, et « faites-moi confiance » est une fondation fragile pour quoi que ce soit de sensible.
Là où un fichier « supprimé » peut subsister
Même avec les meilleures intentions, une simple suppression résume rarement toute la vie d’un fichier sur un serveur :
- Les sauvegardes. Les serveurs sont sauvegardés régulièrement. Un fichier supprimé du système en production peut subsister dans une copie de sauvegarde pendant des jours ou des semaines, par conception, sans la moindre malveillance.
- Les caches et les copies. Les fichiers transitent par des caches, des stockages temporaires et des réseaux de diffusion de contenu. Une « suppression » sur le stockage principal n’atteint pas toujours instantanément chaque copie volatile.
- Les journaux. Même si le fichier lui-même disparaît, des traces le concernant, le moment du téléversement, sa provenance, son nom, ses métadonnées, peuvent rester dans des journaux qui survivent au document.
- Les tiers et la juridiction. Le service peut fonctionner sur une infrastructure louée à quelqu’un d’autre, dans un pays aux règles différentes. Le sort de votre fichier dépend désormais d’une chaîne d’acteurs dont vous n’avez jamais entendu parler.
Rien de tout cela n’exige que qui que ce soit agisse de mauvaise foi. C’est simplement le fonctionnement normal d’une infrastructure serveur. « Supprimé » est plus brouillon que ne le laisse croire une seule phrase assurée.
Où survit une copie après la « suppression »
| Où | Pourquoi elle est encore là |
|---|---|
| Sauvegardes | Faites selon un calendrier ; la suppression ne remonte pas dans l’instantané d’hier |
| Versions du stockage objet | Beaucoup de buckets gardent les versions précédentes exprès |
| Caches CDN et proxy | Une copie servie à quelqu’un d’autre peut survivre à l’original |
| Journaux | Noms, tailles et horodatages survivent même quand les octets disparaissent |
| Sous-traitants | La suppression doit se propager à tous ceux à qui le service a transmis le fichier |
| Le disque lui-même | Marquer un bloc comme libre n’est pas l’écraser |
Et c’est le bon scénario
Ce qui précède suppose un service prudent et bien intentionné. Le même téléversement vous expose aussi aux mauvais scénarios : une faille qui fait fuiter les fichiers stockés, un changement de politique ou de propriétaire de l’entreprise, une réquisition judiciaire des données, ou tout simplement un service qui n’a jamais été aussi soigneux que sa page d’accueil le prétendait. Une fois le fichier sorti de vos mains, tout cela échappe à votre contrôle.
Le seul fichier dont vous pouvez être certain
Il existe exactement une version d’un PDF dont vous pouvez connaître le sort avec une totale certitude : celle qui n’a jamais été téléversée. Un fichier qui n’a jamais quitté votre machine n’a aucune sauvegarde sur le serveur d’un inconnu, rien dans les journaux de qui que ce soit, aucune exposition à une faille dont vous lirez l’existence l’année prochaine. Il n’y a rien à supprimer puisqu’il n’y a jamais eu de copie au départ. Ce n’est pas une promesse plus forte ; c’est l’absence de besoin d’en faire une.
C’est toute l’idée derrière reader.me. Les outils fonctionnent dans votre navigateur, sur votre propre appareil. Quand vous fusionnez, compressez ou protégez un PDF, le fichier est chargé en mémoire sur votre machine, traité là, puis vous est rendu. Il n’est jamais téléversé. Vous n’avez pas à faire confiance à une politique de suppression, parce qu’il n’existe aucune copie sur un serveur dont vous auriez à croire la suppression.
Et vous pouvez le vérifier, ce qu’un outil basé sur le téléversement ne pourra jamais offrir. Ouvrez n’importe quel outil reader.me, ouvrez les outils de développement (F12) et surveillez l’onglet Réseau pendant que vous travaillez, vous ne verrez rien partir. Ou coupez complètement votre connexion internet et utilisez-le hors ligne. Tout fonctionne encore, ce qui n’est possible que parce que le fichier n’allait nulle part.
À retenir
« Nous supprimons vos fichiers » vous demande de croire une promesse que vous ne pouvez pas vérifier, à propos de copies que vous ne pouvez pas voir, sur des serveurs que vous ne visiterez jamais. Pour une photo de vacances, soit. Pour tout ce qui compte vraiment, un contrat, un dossier médical, une pièce d’identité, la meilleure réponse n’est pas une meilleure promesse. C’est de ne pas téléverser le fichier du tout. Faites le travail dans votre navigateur, et la question de ce qu’il advient de votre fichier sur le serveur de quelqu’un d’autre ne se pose tout simplement jamais.
Questions fréquentes
Quand je supprime un fichier d'un site, disparaît-il vraiment ?
L'enregistrement part généralement. Les copies, souvent non, ou pas tout de suite : les sauvegardes suivent un calendrier et gardent la version d'hier, le stockage objet conserve volontiers les versions antérieures, les caches peuvent retenir ce qui a été servi, et les journaux gardent noms et horodatages de toute façon. Supprimer dans un système distribué est un processus, pas un instant.
Et les services qui promettent une suppression en une heure ?
Croyez-les — la plupart sont sincères — mais comprenez la nature de cette promesse. C'est un engagement de comportement, qui dépend du bon fonctionnement du calendrier, de la rotation des sauvegardes et du respect par chaque sous-traitant. C'est raisonnable pour un prospectus. C'est autre chose pour une fiche de paie ou un dossier médical.
De quel fichier puis-je alors être sûr ?
De celui qui n'a jamais été envoyé. C'est le seul cas où la suppression n'est pas une promesse mais un fait : pas de copie côté serveur à faire expirer, pas de sauvegarde à faire tourner, pas de ligne de journal à conserver. On ne peut pas retenir ce qui n'est jamais arrivé.
Comment vérifier si un outil envoie mon fichier ?
Ouvrez les outils de développement avec F12, allez dans l'onglet Réseau, cochez « Conserver le journal » et lancez une vraie tâche. Un envoi apparaît comme une requête qui emporte votre document, et c'est difficile à manquer. Le test brutal : chargez la page, déconnectez-vous du réseau et essayez quand même — un outil local termine, un outil en ligne s'arrête.