Outils PDF sans upload : tout se passe dans votre navigateur

Vous devez fusionner un contrat, compresser un bilan médical ou extraire le tableau d’un relevé bancaire — et quelque chose vous retient de déposer le fichier sur le premier site venu. Cette hésitation est saine, et les outils PDF sans upload existent précisément pour y répondre : le document ne quitte jamais votre appareil, donc il n’y a rien à croire, seulement à vérifier. Chez Document Flare, cela vaut pour toute la boîte à outils, de la fusion de PDF à l’OCR local — et vous pouvez le contrôler plutôt que le croire.

Pourquoi « sans upload » compte

Toutes les suites PDF cloud fonctionnent de la même façon : votre fichier part vers un serveur, y est traité, et le résultat revient. Le service déclare ensuite supprimer le fichier — en général sous une à deux heures. Mais cette promesse est invérifiable de l’extérieur : sauvegardes, journaux et dumps d’erreur ne figurent pas dans les politiques de confidentialité, et vous n’avez aucun moyen d’observer ce que vos octets sont devenus.

Le traitement local inverse la charge de la preuve. Quand le document ne quitte pas l’appareil, la confidentialité cesse d’être une politique à lire pour devenir une absence d’émission que vous pouvez constater. Ce n’est pas un procès du cloud — pour un fichier sans enjeu, un service sérieux convient. C’est le constat que pour un contrat, un dossier médical ou des pièces comptables, l’envoi le plus sûr est celui qui n’a jamais lieu.

Brother DS-640 — scanner portableLe classique des scanners de documents portables.affilié

Comment ça marche : le navigateur fait le travail

Quand vous déposez un PDF dans un outil local, le fichier est lu en mémoire sous forme de tampon binaire (ArrayBuffer). Des bibliothèques JavaScript le manipulent directement : Document Flare utilise un fork de pdf-lib (@cantoo/pdf-lib) pour les opérations structurelles — fusion, extraction, rotation — et pdf.js pour le rendu des pages. Les calculs lourds s’exécutent dans des Web Workers, des threads séparés qui reçoivent les octets du document, produisent le résultat et le renvoient à la page, sans quitter le navigateur. La sortie est assemblée en mémoire puis proposée en téléchargement via un Blob local.

À aucun moment de cette chaîne une requête réseau ne transporte votre fichier. Un fichier qui ne part pas ne peut être ni conservé, ni journalisé, ni exposé côté serveur.

Ce qui circule quand même sur le réseau

« Sans upload » décrit le flux du document — pas « zéro requête ». Deux choses distinctes transitent sur le réseau, et un outil honnête ne les mélange pas :

• L’application elle-même : HTML, JavaScript et images sont téléchargés depuis l’hébergement (Cloudflare) à chaque visite. Les polices sont auto-hébergées — aucune requête vers un service de polices tiers.
• Les modèles IA et OCR : certaines fonctions téléchargent un modèle au premier usage — les données de langue Tesseract pour l’OCR, un modèle d’embeddings d’environ 115 Mio pour la recherche sémantique. Le trafic va du serveur vers le navigateur : le modèle descend, votre texte ne monte pas. L’inférence s’exécute sur votre appareil.
• Publicité et mesure d’audience, sur les pages publiques uniquement : l’accueil, les guides et les pages légales chargent AdSense — conditionné au consentement — et une mesure d’audience sans cookie. Les routes /tools/ sont isolées : pas de publicité, et le tracker de pageview y est un no-op qui ne transmet ni nom, ni taille, ni contenu de fichier.

Le catalogue : chaque outil est local par défaut

Le catalogue de capacités de Document Flare déclare 64 capacités, chacune taguée avec un lieu de traitement. Tout ce qui est disponible dans le build public est LOCAL. Concrètement :

• Organiser : fusionner, diviser, extraire, supprimer, pivoter et réorganiser des pages — des opérations sans perte sur la structure du document.
• Convertir : PDF vers images (JPG, PNG, TIFF), Markdown, HTML, Excel/CSV, PDF/A — et images ou Markdown vers PDF.
• Sécuriser : protection par mot de passe, nettoyage des métadonnées et scripts, caviardage avec rasterisation destructive des pages censurées — et détection assistée des données personnelles (IBAN, numéros de sécurité sociale, e-mails, téléphones).
• IA en local : résumer, traduire et rechercher par sens — détaillé plus bas.

Une exception honnête, précisément parce qu’elle prouve la règle : sept capacités — conversions Office comme PDF → Word et un résumé IA distant — sont déclarées REMOTE_OPTIONAL. Elles n’existent qu’en simulation, sont exclues des builds publiques et exigeraient un consentement explicite à chaque tâche si elles étaient un jour activées. Elles ne font partie ni de ce que vous pouvez utiliser aujourd’hui, ni de cette promesse.

Outils IA : téléchargés une fois, exécutés sur l’appareil

Les fonctions IA suivent la même règle, avec une condition : le modèle doit d’abord arriver sur votre machine. Les résumés et traductions s’appuient sur les APIs Summarizer et Translator intégrées à Chrome ou Edge 138+, où le navigateur gère le modèle. L’OCR repose sur Tesseract compilé en WebAssembly, avec des données de langue auto-hébergées en cinq langues (français, anglais, allemand, espagnol, arabe) mises en cache dans IndexedDB après téléchargement. La recherche sémantique calcule des embeddings sur l’appareil via Transformers.js — le modèle d’environ 115 Mio se télécharge une fois depuis Hugging Face puis est servi depuis le cache navigateur. Le premier usage demande une connexion ; ensuite, votre texte reste en local.

Vérifiez par vous-même : le test réseau en 5 minutes

Ne croyez pas cet article sur parole — le protocole ci-dessous est rejouable sur n’importe quel outil PDF, y compris le nôtre :

1. Ouvrez les outils de développement (F12 ou Cmd+Option+I), onglet Réseau, et cochez « Conserver le journal ».
2. Déposez un PDF dans l’outil et lancez l’opération.
3. Cherchez une requête POST ou PUT dont le corps fait à peu près la taille de votre fichier — c’est la signature d’un envoi.
4. Sur Document Flare, le résultat attendu est : aucune requête ne transporte le document. Ce qui reste charge le code de l’app ou ses modèles — du trafic entrant.

Le protocole complet, avec l’interprétation des cas ambigus, est détaillé dans notre test réseau pas à pas. Il existe aussi une version intégrée : sur les pages outils, un badge compte en direct les octets envoyés dans les corps de requêtes et doit rester à zéro. Son périmètre est indiqué dans son infobulle — il observe les corps des fetch et XMLHttpRequest, là où un envoi de fichier apparaîtrait.

Une réserve honnête : le test prouve l’absence d’envoi au moment observé. Avant un document vraiment sensible, refaites-le — cinq minutes suffisent.

Les limites honnêtes

• Taille et volume : la plupart des outils acceptent jusqu’à 50 Mio et 1 000 pages ; la fusion prend de 2 à 20 fichiers (50 Mio au total) ; la comparaison porte sur 2 fichiers de 100 pages maximum ; l’OCR est plafonné à 100 pages.
• Dépendant de l’appareil : le traitement se fait dans la mémoire de votre navigateur — un très gros fichier est plus lent sur une ancienne machine que sur une ferme de serveurs.
• Pas de conversion Office riche : un PDF → Word fidèle est précisément le type de conversion lourde que couvriraient les capacités distantes — et elles ne sont pas dans le build public.
• Hors ligne après première visite : l’application entière est pré-mise en cache au premier chargement (~380 fichiers, ~8 Mio) et fonctionne ensuite sans connexion, y compris au démarrage à froid. Les modèles OCR/IA se téléchargent une fois en ligne puis restent disponibles.
• Modèle de menace : le local retire le serveur de l’équation, pas un poste compromis — un logiciel malveillant, une extension ou un administrateur système peuvent toujours lire ce qui se passe sur la machine.

Pour aller plus loin

• Fusionner des PDF sans les envoyer — l’opération la plus courante, vérifiée.
• Compresser un PDF sans upload — alléger un fichier qui ne quitte pas l’appareil.
• OCR d’un PDF en local — la reconnaissance de texte sans service cloud.
• Caviarder les données personnelles d’un PDF — pourquoi le rectangle noir visuel ne suffit pas.
• Ce que le traitement local protège vraiment — les détails techniques et le modèle de menace.
• RGPD et traitement local des PDF — ce que change l’absence de transfert.
• Une alternative locale à iLovePDF — le comparatif honnête cloud contre local.

Le matériel adapté

Brother DS-640 — scanner portableLe classique des scanners de documents portables.affilié Amazon Basics — destructeur coupe croiséeCoupe croisée suffisante pour les documents courants ; prix contenu.affilié Samsung T7 Shield — SSD externe 1 ToSSD rapide et résistant aux chocs ; taillé pour un dossier numérisé complet.affilié