Voir les métadonnées EXIF, GPS, C2PA et IA d’une photo, puis les supprimer

Ce qu’il y a réellement dans une photo

Un JPEG n’est pas une seule chose. C’est un conteneur qui renferme l’image compressée au milieu et une série de blocs étiquetés autour d’elle ; tout logiciel qui touche au fichier peut en ajouter un. Cet outil lit 7 types de blocs dans trois formats de conteneur, et la première chose à savoir est le nombre d’endroits distincts où un nom ou une localisation peut se cacher.

Le bloc EXIF est à lui seul une petite base de données. Le dictionnaire utilisé par cette page décrit 41 champs répartis en 6 catégories — lieu (10), appareil (7), heure (5), auteur (6), historique des modifications (4), réglages de capture (9) — et évalue chacun selon ce qu’il révèle, plutôt que selon son degré de technicité.

Les champs qui identifient une personne

10 de ces champs sont classés à haut risque : à eux seuls, ils localisent un lieu, un appareil ou un nom. Ils méritent d’être lus une fois, car la liste n’est pas celle à laquelle la plupart des gens s’attendent : les coordonnées sont évidentes, les numéros de série beaucoup moins.

• Hémisphère de latitude.Nord ou sud. Inutile seul, mais nécessaire pour lire la latitude.
• Latitude.Lieu de prise de vue, généralement à 5-10 mètres près sur un téléphone avec un ciel dégagé.
• Hémisphère de longitude.Est ou ouest.
• Longitude.L’autre moitié des coordonnées. Une adresse personnelle n’est qu’à une recherche.
• Numéro de série de l’appareil.Le boîtier individuel. C’est le champ qui relie toutes les photos que vous avez publiées à un seul appareil — et au reçu.
• Numéro de série de l’objectif.L’objectif individuel.
• ID unique de l’image.Un identifiant propre à l’image que certains appareils écrivent et qui peut relier des copies d’un fichier sur Internet.
• Propriétaire de l’appareil.Un nom saisi une fois dans le menu de l’appareil, puis oublié pendant des années.
• Artiste.Un nom écrit par l’appareil ou par un logiciel de retouche à partir de ses propres réglages.
• Droits d’auteur.Généralement un nom, parfois une adresse e-mail ou un studio.

Le numéro de série du boîtier mérite une attention qu’il reçoit rarement. Il est inscrit dans chaque image produite par un appareil donné, résiste à la plupart des flux de retouche et correspond au numéro indiqué sur le reçu. Avec deux photos, n’importe qui peut déterminer si elles ont été prises par le même appareil ; avec une photo et le registre d’un revendeur, il est possible d’aller plus loin. Pour un photojournaliste, un vendeur anonyme ou toute personne publiant sous un pseudonyme, ce seul champ suffit à défaire le pseudonyme.

L’autre surprise est la miniature intégrée. Un appareil photo écrit un petit aperçu dans le bloc EXIF au moment de la prise de vue, et une quantité étonnante de logiciels ne le met jamais à jour. Une photo recadrée pour supprimer quelque chose, ou recouverte d’une retouche, peut encore contenir une miniature montrant le cadre original. Cela a déjà entraîné plusieurs erreurs publiées et documentées. C’est pourquoi l’outil signale la miniature séparément, au lieu de l’inclure dans un simple décompte d’octets.

La localisation ne se limite pas aux coordonnées

Lorsqu’une photo contient des données GPS, elle contient généralement plus que la latitude et la longitude. L’altitude, précise à un mètre environ, peut indiquer un étage dans un bâtiment. La direction de l’image — un relèvement au compas — indique vers où l’objectif était orienté ; avec les coordonnées, elle peut identifier la fenêtre précise. L’horodatage GPS provient des satellites en UTC, et ne peut donc pas se tromper de fuseau horaire comme l’horloge de l’appareil. La méthode de positionnement indique si la localisation vient des satellites ou d’une antenne-relais.

En les combinant, quelques photos de vacances peuvent établir une adresse, un lieu de travail, un trajet quotidien et les heures auxquelles une personne est absente de son domicile. Aucune compétence particulière n’est nécessaire pour les extraire : chacun de ces champs est du texte lisible dans le fichier, et tous les systèmes d’exploitation disposent d’un lecteur intégré pour les consulter.

Cet outil affiche les coordonnées et propose un lien cartographique, mais ce lien n’est suivi que si vous cliquez dessus. Cette distinction compte sur une page dont l’argument porte précisément sur ce qui quitte l’appareil : ouvrir une carte revient à indiquer à ce service où la photo a été prise, et cela devrait être une décision, pas un effet secondaire.

Content Credentials, déclarations IA et ce qu’elles ne prouvent pas

Deux types de blocs plus récents côtoient les anciens. Les C2PA Content Credentials sont un manifeste signé cryptographiquement qui décrit l’origine d’un fichier et les opérations qu’il a subies — ajouté par certains appareils photo, par les logiciels Adobe et par plusieurs générateurs d’images. Le type de source numérique IPTC est un champ XMP unique doté d’un vocabulaire contrôlé qui indique, sous une forme lisible par une machine, comment l’image a été créée.

L’outil signale les deux, ainsi que tout nom de générateur qu’il reconnaît dans la chaîne Software ou CreatorTool. En revanche, il ne vous dira pas qu’une image n’a pas été générée par IA. Une déclaration est une affirmation produite par le fichier sur lui-même, et ces affirmations peuvent être supprimées — cette page les retire en un clic, ce qui est précisément le but. Une image sans déclaration ne vous a rien appris.

Il en va de même pour la question qui amène réellement les visiteurs ici : comment supprimer un filigrane IA. Si le filigrane est une métadonnée, il peut être retiré ici. S’il s’agit d’une marque visible dessinée dans l’image, ce n’est pas le bon outil et le rédacteur est un instrument rudimentaire pour cela. S’il s’agit d’un filigrane statistique invisible du type SynthID, il se trouve dans les pixels, résiste au réencodage et au redimensionnement ; rien de ce qui lit les métadonnées — y compris cet outil — ne peut le voir ou le supprimer. Toute personne qui prétend le contraire cherche à vous vendre quelque chose.

Il peut aussi être pertinent de conserver un manifeste. Si vous publiez un article de presse, une preuve ou un travail dont la provenance fait partie de la valeur, le Content Credential permet au lecteur de la vérifier. Le supprimer est le bon choix par défaut pour une photo privée et le mauvais pour une photo publiée. L’outil vous indique donc ce qui est présent et vous laisse décider au lieu de décider à votre place.

Pourquoi l’image n’est pas réencodée

La méthode courante pour supprimer les métadonnées consiste à ouvrir la photo dans un éditeur et à l’enregistrer à nouveau, ou à utiliser un outil en ligne qui la dessine sur un canvas avant d’exporter un nouveau fichier. Les deux méthodes fonctionnent, et les deux recompressent l’image. Un JPEG passé deux fois par un encodeur a perdu des détails définitivement, sans aucun rapport avec la confidentialité.

Cet outil reconstruit plutôt le conteneur. Il parcourt la structure du fichier, supprime les blocs qui portent les métadonnées et copie les données d’image compressées octet par octet — les données de balayage du JPEG, les blocs IDAT du PNG et la charge utile VP8 du WebP. L’image obtenue est identique bit à bit à celle qui est entrée. Le fichier nettoyé est ensuite analysé à nouveau par le même lecteur, et le reçu indique ce qui reste au lieu d’affirmer qu’il ne reste rien.

Les autres outils de ce site réencodent les images, car redimensionner et compresser sont des opérations sur les pixels. Ils suppriment aussi les métadonnées par la même occasion, ce qui convient lorsque vous vouliez de toute façon un fichier plus petit, mais constitue un gaspillage lorsque vous vouliez seulement supprimer la localisation.

Ce que la suppression des métadonnées ne fait pas

Elle ne rend pas une photo anonyme. L’image elle-même constitue une preuve : une rue reconnaissable, une fenêtre avec une vue, un reflet dans une bouilloire, un document posé sur un bureau, un badge nominatif, un écran en arrière-plan. La recherche d’image inversée fait correspondre la photo, pas ses en-têtes. Si le but est qu’une personne ou un lieu ne puisse pas être identifié, les métadonnées ne sont que la partie facile et masquer ce qui se trouve dans le cadre est l’autre partie.

Elle ne s’applique pas non plus aux copies. L’original se trouve toujours sur l’appareil, probablement dans une sauvegarde cloud, très probablement dans un message que vous avez déjà envoyé et certainement sur les serveurs de toute plateforme ayant reçu un envoi avant que vous n’y pensiez. Supprimer les métadonnées avant l’envoi est la seule étape de cette chaîne que vous contrôlez, et c’est précisément pourquoi cela vaut la peine de le faire.

Enfin, cela ne vous aide pas avec les photos que vous n’aviez jamais voulu envoyer. C’est un autre problème, et c’est celui pour lequel l’application a été conçue : le chiffrement AES-256-GCM sur l’appareil, avec une clé dérivée de the 5×5 unlock pattern, converted to a high-entropy seed, et 600 000 itérations de PBKDF2-HMAC-SHA256 entre un attaquant et une tentative. La page sur le chiffrement présente chaque paramètre, et le modèle de menace explique honnêtement ce que cela protège ou ne protège pas.