Floutez un visage ou masquez du texte sur une photo, définitivement

Pourquoi une boîte noire dans un document n'est pas un caviardage

L'échec le plus fréquent dans ce domaine n'est pas technique. Quelqu'un ouvre un PDF, une présentation ou une capture d'écran, dessine un rectangle noir sur un nom, enregistre le fichier et le publie. Le rectangle est un objet placé sur une couche au-dessus du contenu. Le contenu se trouve toujours dans le fichier. Sélectionner le rectangle et appuyer sur la touche de suppression fait réapparaître le nom ; copier le texte ou ouvrir le fichier dans presque n'importe quel éditeur produit le même résultat.

Des cabinets d'avocats l'ont fait. Des services gouvernementaux l'ont publié. Un journal l'a fait avec un passeport. Le schéma est toujours le même, parce que l'outil qui a dessiné la boîte a fait exactement ce qu'on lui demandait et que rien dans l'interface n'indiquait que l'original était toujours là.

Il en va de même pour un flou utilisé comme couche d'ajustement dans un éditeur d'images : la couche est non destructive par conception, ce qui est précisément sa fonction, et les pixels d'origine se trouvent sous cette couche dans le fichier de projet enregistré. Exporter une copie aplatie règle le problème ; envoyer le fichier de projet ne le règle pas.

Cet outil n'a pas de couches. La région que vous dessinez est inscrite dans le tampon de pixels — les pixels sont remplacés, et non recouverts — puis le fichier est encodé à partir de ce tampon. Le résultat est une nouvelle image dans laquelle la zone masquée contient une couleur unie ou une moyenne, et rien d'autre ne se trouve dans le fichier. C'est aussi pour cela que la sortie est réencodée plutôt que modifiée par petites touches : un caviardage qui conserve les données compressées d'origine n'est pas un caviardage.

Quel masquage utiliser, et quand un flou ne suffit pas

Un flou est une opération de moyenne. Si vous faites une seconde moyenne des mêmes pixels, vous avez perdu de l'information, mais pas nécessairement assez d'information : si ce qui a été flouté provenait d'un petit ensemble connu — les chiffres de zéro à neuf, l'alphabet d'une plaque d'immatriculation, une police à chasse fixe affichant un solde bancaire — un attaquant peut flouter chaque possibilité de la même manière et les comparer. Cette attaque a été démontrée à plusieurs reprises sur du texte légèrement pixellisé et sur des visages floutés avec de petits rayons ; c'est pourquoi dire « nous l'avons flouté » ne constitue pas, à lui seul, une affirmation valable.

Cet outil détruit la région avant de la flouter. Les modes pixellisation et flou commencent tous deux par réduire chaque cellule à une seule couleur, afin que la structure fine dont dépend l'attaque ait disparu avant toute opération de lissage ; la taille des cellules est proportionnelle à la région plutôt que fixée à une petite valeur par défaut. Le résultat est ainsi véritablement irréversible. Il n'est pas pour autant invisible : un visage pixellisé montre encore une disposition de teintes de peau en forme de tête, ce qui suffit parfois à dire qui se trouvait où.

Lorsque le but est qu'un élément ait été supprimé et que rien de lui ne subsiste, utilisez le bloc uni. C'est le seul mode qui indique honnêtement au lecteur qu'une décision a été prise, et le seul qui ne laisse absolument aucun résidu.

Il n'y a pas de service de détection des visages derrière cette page

La détection automatique des visages sur une page web n'a exactement que deux modes de fonctionnement. Le premier consiste à envoyer votre photo à un serveur qui exécute un modèle — c'est ce que font la plupart des sites de « flou de visage en ligne gratuit », et c'est l'opposé de ce que vous êtes venu chercher ici. L'autre consiste à télécharger un modèle dans le navigateur, ce qui, avec un détecteur moderne, représente plusieurs mégaoctets sur une connexion mobile avant que la page puisse faire quoi que ce soit.

Cette page ne fait ni l'un ni l'autre. Lorsque le navigateur expose la Shape Detection API expérimentale — Chrome sur Android, et derrière un indicateur dans certaines versions de bureau — le bouton « Scan » l'utilise et le résultat est présenté comme une suggestion. Ailleurs, le bouton n'est pas affiché, car un bouton qui ne fait discrètement rien est pire que l'absence de bouton.

Dessiner les zones à la main prend environ cinq secondes par visage et présente une propriété qu'aucun détecteur n'a : vous avez regardé l'image. Un détecteur trouve les visages de face. Il ne trouve pas la personne de profil au bord de l'image, l'enfant reflété dans une fenêtre, le visage sur une affiche, le nom sur un tour de cou ou le panneau de rue qui situe toute la photo.

Quels autres éléments de l'image permettent d'identifier quelqu'un

Placer une boîte sur un visage est le début du travail, pas sa fin. Avant de publier une photo dans laquelle une personne ne doit pas être identifiable, il vaut la peine de parcourir encore une fois l'image à la recherche de ce qui n'est pas un visage :

• Badges nominatifs, tours de cou, cartes d'identité et verso d'une carte visible à travers la pochette du tour de cou.
• Écrans — ordinateur portable, téléphone, moniteur en arrière-plan — qui affichent souvent un client de messagerie.
• Reflets dans les fenêtres, les miroirs, les bouilloires, les lunettes et les tables polies.
• Numéros de maison, panneaux de rue, devantures, numéros de lignes de bus et vue depuis une fenêtre.
• Plaques d'immatriculation, y compris les plaques partiellement visibles, et véhicules distinctifs.
• Tatouages, cicatrices et bijoux, qui permettent d'identifier quelqu'un et sont rarement considérés comme tels.
• Documents, enveloppes, ordonnances et étiquettes de livraison posés sur une surface.
• Uniformes et badges qui rattachent une personne à un seul lieu de travail sur un poste donné.

Et puis il y a ce qui ne se trouve pas du tout dans l'image : les métadonnées du fichier. Une photo dont tous les visages sont masqués peut encore contenir les coordonnées du lieu où elle a été prise et le numéro de série de l'appareil qui l'a prise. Cet outil supprime tout cela par la même occasion, car la sortie est encodée à partir des pixels — l'outil de métadonnées permet de voir ce qui s'y trouvait avant sa suppression.

Les captures d'écran sont le cas le plus courant

La plupart des fichiers traités par un outil de caviardage ne sont pas des photos de personnes. Ce sont des captures d'écran : un relevé bancaire pour un litige, une conversation utilisée comme preuve, un rapport de bug affichant les informations d'un client, une facture pour une note de frais. Les captures d'écran contiennent un ensemble précis d'éléments que l'on oublie souvent.

La barre d'état vient en premier. Le nom de l'opérateur, la puissance du signal, le pourcentage de batterie et l'heure exacte se trouvent dans les quelques pixels du haut ; ensemble, ils situent une personne et un moment. Vient ensuite l'interface du navigateur : une URL contenant un jeton de session, une liste d'onglets ouverts qui décrit tout un après-midi, une liste déroulante de saisie automatique, une barre de favoris contenant les outils internes d'une entreprise. Enfin, il y a le reste de l'interface : une barre latérale avec des noms de contacts, une notification, un sélecteur de compte affichant une adresse personnelle à côté d'une adresse professionnelle.

Masquez tout cela et utilisez PNG comme format de sortie pour tout ce qui contient du texte. JPEG compresse mal les contours du texte, et une capture d'écran caviardée difficile à lire est une capture d'écran caviardée qui risque d'être renvoyée sans masquage.

Ce qui arrive au fichier, étape par étape

L'image est décodée par le navigateur, avec sa rotation EXIF appliquée aux pixels afin que ce qui s'affiche à l'écran soit ce qui sera exporté. Le tracé d'une région enregistre un rectangle dans les coordonnées de l'image, et non dans celles de l'écran ; le masquage se place donc au bon endroit, quelle que soit la manière dont l'aperçu est redimensionné dans votre fenêtre. L'application redessine l'image en pleine résolution, remplace les pixels de chaque région et encode le résultat.

Rien n'est envoyé à aucun moment, et la page ne pourrait effectuer aucune requête : les modules sous /js/tools/ ne contiennent aucun code réseau. Une fois la page chargée, vous pouvez couper complètement le réseau et chaque fonction continuera de marcher. C'est une version de cette affirmation que vous pouvez vérifier plutôt que devoir accepter sur parole.

Si une photo est assez sensible pour être caviardée avant d'être envoyée, elle est généralement assez sensible pour ne pas rester dans la pellicule. C'est à cela que sert le coffre-fort — des fichiers chiffrés sur l'appareil, en dehors de la photothèque — et la page sur le chiffrement énonce chaque paramètre au lieu de parler de niveau militaire.