Vous avez entre les mains un contrat de travail, un bilan médical ou un relevé bancaire à découper, et l’idée de le déposer sur le premier site venu vous retient. Cette hésitation est saine : une fois le fichier téléversé, vous ne contrôlez plus ni sa durée de conservation ni les personnes qui y ont accès. Un outil PDF local exécuté dans le navigateur répond précisément à ce problème — à condition de comprendre ce que « local » recouvre techniquement, et ce qu’il ne recouvre pas.
Ce que « local » veut dire concrètement
Dans une application web, le code s’exécute dans votre navigateur, sur votre machine. Quand vous déposez un PDF dans un outil construit ainsi, le fichier est lu en mémoire vive sous forme de tampon binaire (ArrayBuffer), puis manipulé par des bibliothèques JavaScript. Document Flare utilise à cet effet pdf-lib (fork @cantoo/pdf-lib) pour la fusion, l’extraction ou la rotation, et pdfjs pour le rendu des pages.
Le calcul lourd est déporté dans des Web Workers : des threads d’exécution séparés qui reçoivent les octets du document, produisent le résultat et le renvoient au thread principal — le tout sans quitter la page. À aucun moment de cette chaîne une requête réseau ne transporte votre fichier. Le résultat est assemblé en mémoire puis proposé au téléchargement via un objet Blob local.
Conséquence pratique : un fichier qui ne part pas ne peut pas être conservé, journalisé ou exposé côté serveur. La confidentialité ne repose plus sur une politique écrite mais sur une absence technique d’émission.
Trodat ID Protector — tampon confidentialitéRouleau encreur qui masque adresses et identifiants sur le papier avant destruction.affilié
Ce qui circule quand même sur le réseau
« Local » ne signifie pas « zéro requête ». Il faut distinguer deux choses que le marketing mélange volontiers : le document, qui reste sur votre appareil, et l’application, qui arrive forcément par le réseau.
- Le chargement de la page : HTML, JavaScript, polices et images transitent depuis l’hébergement (ici Cloudflare) à chaque visite. Un service worker met en cache le shell applicatif pour l’usage hors connexion, mais sans mettre en cache vos documents.
- Les modèles IA et OCR : certaines fonctions téléchargent un modèle au premier usage. L’OCR repose sur tesseract.js dont les modèles de langue sont auto-hébergés puis cachés en IndexedDB ; les embeddings de texte téléchargent un modèle ONNX d’environ 115 Mio depuis HuggingFace, puis le servent depuis le cache navigateur. Le trafic va dans le sens serveur vers navigateur — le modèle descend, votre texte ne monte pas. L’inférence elle-même s’exécute sur votre appareil.
- La publicité et la mesure d’audience : sur les pages publiques uniquement (accueil, guides, mentions légales), le site charge le script AdSense — requêtes d’annonces conditionnées au consentement — et Plausible, une mesure d’audience sans cookie. Les routes
/tools/sont isolées : pas d’AdSense, et le tracker de pageview est un no-op qui ne transmet aucun nom, taille ou contenu de fichier.
Le modèle de menace, honnêtement
Le traitement local supprime une frontière de confiance : celle du serveur distant. C’est réel, mais borné.
Contre quoi il protège : l’interception en transit vers un service tiers, le stockage côté opérateur, les fuites de bases de données, la réutilisation commerciale de vos documents, les accès internes chez le prestataire.
Contre quoi il ne protège pas : un poste déjà compromis (logiciel malveillant, keylogger), une extension de navigateur qui lit le contenu des pages, un administrateur système sur une machine d’entreprise, ou l’application elle-même si son code était malveillant — vous faites toujours confiance au code que le site vous sert, à chaque chargement. Le traitement local déplace la confiance ; il ne l’abolit pas.
Pour un document ordinaire, un upload transitoire chez un service sérieux peut être acceptable. Pour des pièces juridiques, médicales ou comptables, la différence est structurelle : il n’y a tout simplement pas de serveur à compromettre dans la boucle du document.
Comment vérifier par vous-même
La promesse « vos fichiers restent privés » se teste en cinq minutes dans l’onglet Réseau des outils de développement : déposez un PDF, lancez l’opération, et cherchez une requête POST ou PUT transportant à peu près le poids du fichier. Son absence est le signal attendu ; les requêtes restantes chargent l’application ou ses modèles. Le protocole complet, avec l’interprétation des cas ambigus, est détaillé dans le test réseau en 5 minutes.
Complément simple : rechargez la page puis coupez la connexion. Un outil réellement local continue de fonctionner ; un outil serveur s’arrête au moment d’envoyer le fichier. Le même raisonnement s’applique aux services cloud : où vont vos fichiers lit les politiques d’iLovePDF, Smallpdf et Adobe clause par clause, et le comparatif alternative à iLovePDF les met en regard du traitement local.
Limites à connaître
- La vérification réseau prouve l’absence d’envoi au moment observé ; elle ne documente pas une version future. Refaites le test avant un document vraiment sensible.
- Les fonctions IA/OCR nécessitent le téléchargement initial du modèle : hors connexion et sans cache préalable, elles sont indisponibles.
- Les capacités déclarées distantes (conversions Office, résumé IA) sont marquées
REMOTE_OPTIONALdans le catalogue, exigent un consentement explicite et sont actuellement exclues des builds publiques — le reste du catalogue est local. - Le traitement en mémoire vive impose des limites de taille propres à chaque outil (par exemple 50 Mio pour les conversions déclarées dans le catalogue de capacités).
Pour un usage courant — fusion, extraction, rotation — l’approche locale de l’outil de fusion PDF et de ses voisins du catalogue se vérifie directement, sans avoir à croire qui que ce soit sur parole.
Le matériel adapté
Trodat ID Protector — tampon confidentialitéRouleau encreur qui masque adresses et identifiants sur le papier avant destruction.affilié
Amazon Basics — destructeur coupe croiséeCoupe croisée suffisante pour les documents courants ; prix contenu.affilié
YubiKey 5 NFC — clé de sécurité FIDO2Authentification à deux facteurs matérielle : sign-in résistant au phishing pour les comptes sensibles.affilié
