Analyse privée dans le navigateur

Analyse Forensique de Documents

Déposez un PDF ou un document Office. Pour un PDF, l'historique d'édition est reconstruit sauvegarde par sauvegarde ; pour un fichier Word, Excel ou PowerPoint, les métadonnées, le suivi des modifications, le contenu masqué, les liens externes et le code source des macros sont lus intégralement - sans rien téléverser.

Votre document reste sur cet appareil

Déposez un PDF ou un document Office ici

.pdf .docx .xlsx .pptx .docm .xlsm .pptm .doc .xls .ppt .rtf - ou cliquez pour parcourir votre appareil

Choisir un document

Révisions enregistrées dans le fichier

Documents pris en charge

PDF - historique des révisions, ce qui a changé entre les sauvegardes, vérification de caviardage, JavaScript intégré, couverture des signatures, polices, images et pièces jointes.
Word, Excel, PowerPoint - métadonnées, suivi des modifications et commentaires, texte masqué, feuilles et diapositives, liens externes, objets intégrés, code source des macros VBA et XLM. Inclut .docm/.xlsm/.pptm et les formats hérités .doc/.xls/.ppt.
RTF - structure des groupes et chaque objet OLE intégré.

Ce sont les octets mêmes du fichier qui déterminent l'analyse effectuée ; l'extension n'est utilisée qu'en dernier recours. Chargez un document pour afficher ici ses outils d'analyse.

Outils d'analyse PDF

Outils d'analyse Office

Vue d'ensemble du document

Ce que la structure même du fichier déclare, avant qu'aucune page ne soit rendue.

Historique des révisions

Chaque sauvegarde incrémentielle laissée dans ce fichier, de la plus ancienne à la plus récente. Sélectionnez-en une pour voir quels objets elle a écrits.

Modifications entre les sauvegardes

Le contenu de chaque page est relu tel qu'il était à la révision antérieure et à la révision ultérieure, puis les deux sont comparés, afin que vous voyiez le texte qu'une sauvegarde ultérieure a ajouté ou supprimé.

Comparer depuis

Jusqu'à

Vérification de caviardage

Texte encore présent dans le flux de contenu, sous ce qui a été peint par-dessus. Une zone sombre dessinée par-dessus masque le texte pour un lecteur, pas pour le fichier - ceci est signalé comme une piste à vérifier, jamais comme un verdict, car l'ombrage d'un tableau et les incrustations de figures se ressemblent à l'identique.

Métadonnées

Le dictionnaire d'informations du document et tout paquet XMP intégré, affichés exactement tels que stockés.

JavaScript intégré

Les scripts stockés dans le document, ainsi que les déclencheurs qui les exécuteraient. Affichés en texte brut et jamais exécutés.

Signatures numériques

Quels champs de signature existent et quelle part du fichier chacun couvre.

Polices, images & pièces jointes

Ce que le document transporte en son sein, quelles pages utilisent chaque police, quelle sauvegarde l'a introduite, et quelles images intégrées peuvent être extraites.

Graphe d'objets

Chaque objet indirect du fichier, avec la révision qui l'a écrit pour la première fois et celle qui l'a modifié en dernier.

Filtre

#	Type	Sous-type	Nature	Flux	Rév.	Clés

Chaînes

Texte imprimable trouvé n'importe où dans le fichier brut, y compris dans des révisions qu'un lecteur n'affichera jamais.

Filtre

Longueur minimale

Vue d'ensemble du document

Ce qu'est ce document, qui y figure, et ce qui se distingue dans la façon dont il a été construit.

Métadonnées

Les propriétés qu'Office écrit dans chaque document - auteur, organisation, temps d'édition total, nombre de révisions - affichées analysées et en XML brut. Les fichiers antérieurs à 2007 affichent à la place leurs jeux de propriétés OLE.

Révisions & contenu masqué

Suivi des modifications, commentaires, texte masqué, feuilles de calcul et diapositives masquées, ainsi que les identifiants de sauvegarde de révision que Word conserve de chaque session d'édition. Rien de tout cela n'est visible lors d'une lecture normale du document.

Macros (VBA & XLM)

Le code source complet de chaque module VBA, décompressé depuis le projet. Rien n'est exécuté, émulé ou résolu - le code est affiché sous forme de texte, et les constructions méritant un examen plus approfondi sont signalées à côté. Les feuilles de macros Excel 4.0, qui s'exécutent depuis des cellules sans le moindre projet VBA dans le fichier, sont listées séparément ci-dessous.

Liens & références externes

Chaque relation déclarée par le document, avec tout ce qui pointe hors du fichier signalé. Les cibles distantes sont affichées en texte brut et ne sont jamais contactées - cette page n'effectue aucune requête réseau, quelle qu'elle soit.

Objets intégrés & médias

Images et fichiers intégrés stockés dans le document, avec le type que chacun revendique par son nom vérifié par rapport à ce que ses propres premiers octets sont réellement. Toute image peut être enregistrée sur votre appareil et examinée dans Analyse Forensique d'Images, où ses propres données EXIF sont lues. Pour un fichier RTF, cet onglet affiche à la place la structure des groupes et chaque objet OLE intégré.

Intégrité du conteneur & signatures

Un fichier Office moderne est une archive ZIP. Son index est recoupé avec l'en-tête propre de chaque partie, et chaque partie lue est vérifiée par rapport à sa somme de contrôle enregistrée. Toute signature numérique stockée dans le paquet est listée avec les parties qu'elle couvre - et celles qu'elle ne couvre pas.

Parties du document

Chaque fichier à l'intérieur du conteneur. Sélectionnez-en un pour le lire comme du texte.

Filtre

Texte de toutes les parties

Texte lisible extrait de chaque partie du document, y compris les en-têtes, les pieds de page et les parties jamais affichées.

Recherche

Comprendre l'analyse forensique de documents

Pourquoi un PDF se souvient de ses propres modifications

Lorsqu'un PDF est édité et enregistré de façon incrémentielle, l'éditeur ne réécrit pas le fichier. Il ajoute les objets modifiés, une nouvelle table de références croisées décrivant où ils ont été placés, et une nouvelle bande-annonce (trailer) qui renvoie vers la précédente. Les octets d'origine sont toujours là, intacts, en dessous. Remonter cette chaîne de bandes-annonces reconstruit le document tel qu'il était à chaque sauvegarde - ce qui se rapproche davantage de la lecture d'un journal de contrôle de version que d'une simple estimation statistique sur une éventuelle altération du fichier. Pour montrer ce qu'une sauvegarde a modifié, le flux de contenu de chaque page est relu tel qu'il était à la révision antérieure et à la révision ultérieure, puis les deux sont comparés ligne par ligne.

Un .docx est une archive ZIP pleine de XML

Depuis 2007, les fichiers Word, Excel et PowerPoint sont des archives ZIP ordinaires contenant une arborescence de parties XML. C'est pourquoi tant de choses y subsistent qu'un lecteur ne voit jamais : le corps du document, les métadonnées, le suivi des modifications, les commentaires, les relations vers d'autres fichiers et tout projet de macro intégré sont autant de parties distinctes rangées côte à côte dans l'archive. Supprimer du texte d'une page ne le retire pas nécessairement des parties, et désactiver « afficher les marques de révision » ne change rien à ce qui est stocké - cela ne change que ce qui est dessiné à l'écran.

Le caviardage qui n'en était pas un

Le moyen le plus courant par lequel des informations sensibles s'échappent d'un document n'est pas une attaque astucieuse. Dans un PDF, c'est une zone sombre dessinée sur du texte encore présent dans le flux de contenu en dessous ; dans un fichier Office, c'est un document envoyé alors que le suivi des modifications est encore actif, que des commentaires sont encore attachés, ou que du texte est simplement marqué masqué plutôt que supprimé - chacun étant stocké intégralement, avec le nom de l'auteur et un horodatage, et chacun invisible lors d'une lecture normale. Excel ajoute sa propre variante : une feuille de calcul peut être marquée « très masquée », un état qui ne peut absolument pas être annulé depuis l'interface d'Excel.

Scripts et macros sont lus, jamais exécutés

Un PDF peut transporter du JavaScript avec des déclencheurs qui l'exécuteraient à l'ouverture ; un document Office peut transporter un projet VBA, stocké sous forme de fichier composé compressé selon un schéma propre à Microsoft. Cet outil extrait les deux en texte brut - en parcourant le conteneur VBA pour trouver où chaque module cesse d'être du bytecode compilé et commence à être du code source compressé, puis en le décompressant intégralement, même dans les projets marqués « verrouillé pour l'affichage ». Savoir qu'une macro existe n'apprend presque rien ; lire ce qu'elle fait apprend tout. Rien n'est exécuté, émulé ou résolu, et aucune cible externe pointée par un document n'est jamais contactée.

Des indices, pas des preuves

Tout ce qui figure sur cette page décrit ce qui est stocké dans le fichier, ce qui n'est pas la même chose que ce qui s'est passé ou ce qui était prévu. Plusieurs révisions PDF sont parfaitement normales : ajouter un commentaire, remplir un champ de formulaire, signer, ou simplement enregistrer à nouveau produisent chacun une révision. De nombreuses macros professionnelles ordinaires appellent Shell ou CreateObject ; de nombreux documents légitimes portent un suivi des modifications parce qu'une relecture est encore en cours ; une feuille de calcul masquée est très souvent simplement une table de correspondance rangée à l'écart. De même, un résultat vide n'est pas un certificat de bonne santé - l'enregistrement via presque n'importe quel convertisseur aplatit entièrement l'historique d'un PDF, et cet outil lit la structure et le texte sans évaluer ce qu'une macro ferait réellement à l'exécution. Traitez chaque constat comme une piste à recouper avec la source d'origine et les personnes impliquées, et là où l'enjeu est important, faites appel à une personne qualifiée plutôt que de vous fier à une seule lecture automatisée.

Points clés à retenir

Une seule zone de dépôt, la bonne analyse : ce sont les octets mêmes du fichier qui déterminent s'il est lu comme un PDF ou un document Office, si bien qu'un fichier renommé ne peut pas passer inaperçu.
L'historique d'édition PDF est reconstruit, pas deviné : chaque sauvegarde incrémentielle laissée dans le fichier est listée avec sa plage d'octets, son producteur et les objets qu'elle a écrits.
Masqué ne veut pas dire supprimé : le suivi des modifications, les commentaires, le texte masqué, les diapositives masquées et les feuilles de calcul très masquées sont lus directement depuis un fichier Office, et le texte sous une zone de caviardage PDF est signalé comme une piste.
Scripts et macros sont affichés, jamais exécutés : le JavaScript intégré et chaque module VBA sont extraits en texte brut, et les cibles externes sont listées, jamais suivies.
Rien ne quitte votre appareil : chaque analyse, décompression et comparaison s'exécute côté client, dans votre navigateur.

Analyse Forensique de Documents - Analyseur Gratuit de PDF, Word, Excel et PowerPoint