Les convertisseurs de fichiers en ligne sont-ils sûrs ?

Le FBI a publié une alerte sur les faux convertisseurs de fichiers en ligne. Le risque est double : un logiciel malveillant d'un côté, des documents personnels lus de l'autre. Voici ce qu'il faut vérifier avant de déposer un fichier sur un site.

Convertir un fichier est devenu un geste banal : une photo au mauvais format, un PDF à alléger, un document qu'un logiciel refuse d'ouvrir. Une recherche, un site, un dépôt, et c'est réglé. Ce geste mérite pourtant qu'on s'y arrête, parce qu'un service de conversion voit passer exactement ce qu'on lui donne — et que certains de ces services sont conçus pour ça.

Ce que le FBI a signalé

En mars 2025, le bureau de Denver du FBI a publié une alerte publique sur les convertisseurs de fichiers gratuits en ligne. Le communiqué, cité en sources, décrit un mode opératoire précis : des sites qui effectuent bien la conversion annoncée, mais dont le fichier restitué contient un logiciel malveillant, avec pour issue fréquente un rançongiciel. Le même communiqué indique que ces outils peuvent aussi extraire des données personnelles des documents qui leur sont soumis — numéros d'identité, dates de naissance, coordonnées.

Deux détails méritent d'être retenus. D'abord, la conversion fonctionne : la victime n'a aucun signal d'alerte, elle repart avec le fichier qu'elle attendait. Ensuite, ces sites imitent des adresses légitimes à une lettre près, ou en changeant l'extension de domaine — un nom presque juste ne prouve donc rien.

Des chercheurs en sécurité ont documenté des cas concrets correspondant à cette alerte, avec des sites distribuant des exécutables identifiés comme malveillants, et des campagnes publicitaires achetées sur les moteurs de recherche pour placer de faux convertisseurs de PDF en tête des résultats. La position d'un site dans une page de résultats n'est donc pas non plus un indicateur de confiance.

Deux risques distincts, à ne pas confondre

Le premier est celui de l'alerte ci-dessus : l'infection. Le site sert de vecteur, le fichier restitué ou le programme proposé au téléchargement embarque le code malveillant. C'est un risque de sécurité classique, et il vise ta machine.

Le second est plus discret et concerne aussi des services parfaitement légitimes : l'exposition du contenu. Dès lors qu'un fichier est téléversé, il existe sur un serveur qui n'est pas le tien. Il y est traité, souvent stocké quelques heures, parfois répliqué sur plusieurs machines pour des raisons techniques. Un service sérieux annoncera une durée de conservation et une suppression automatique — et tiendra probablement parole. Mais tu as changé de posture : tu es passé d'un fichier que tu détiens à un fichier dont tu dépends d'une promesse.

Pour une image de vacances, ce déplacement est acceptable. Pour un bulletin de salaire, un avis d'imposition, un contrat, une pièce d'identité ou un document médical, il ne l'est pas — indépendamment de toute mauvaise intention du service.

Vérifier soi-même où va un fichier

Il existe une méthode simple, qui ne demande de croire personne sur parole. Avant de déposer quoi que ce soit, ouvre les outils de développement de ton navigateur — touche F12 sur la plupart des systèmes — et place-toi sur l'onglet Réseau. Dépose ensuite le fichier et observe.

Si une requête sortante apparaît avec un volume de données comparable à la taille de ton document, il a été téléversé. C'est factuel, ce n'est pas une interprétation. Si aucune requête de ce type n'apparaît et que le résultat s'affiche quand même, c'est que le traitement s'est fait localement, dans l'onglet.

Deux autres vérifications utiles avant d'en arriver là : la page explique-t-elle, noir sur blanc, où va le fichier et combien de temps il est conservé ? Et le site indique-t-il qui l'édite — une entité identifiable, une adresse de contact, des mentions légales ? L'absence de ces éléments n'est pas une preuve de malveillance, mais c'est une raison suffisante de ne pas y déposer un document sensible.

Les signaux qui doivent faire fermer l'onglet

1. Un programme à installer ou une extension de navigateur exigée pour « terminer » la conversion. Une image ou un PDF n'a jamais besoin de ça.
2. Un fichier restitué avec une extension inattendue — un .exe, un .js, une archive protégée par mot de passe — au lieu du format demandé.
3. Une demande de compte, de numéro de téléphone ou de moyen de paiement pour une opération présentée comme gratuite.
4. Une adresse presque correcte : une lettre en trop, un tiret ajouté, une extension de domaine différente de celle du service que tu croyais viser.
5. Des fenêtres publicitaires qui s'ouvrent d'elles-mêmes, ou un bouton de téléchargement entouré de faux boutons.
6. Aucune page expliquant le traitement des données, ou une page qui reste vague sur le sort des fichiers.

Les documents à ne pas confier à un site tiers

Une règle de tri suffit : si la perte du document te causerait un préjudice, ou s'il contient des informations qui permettent d'usurper ton identité, il ne sort pas de ton appareil. Cela couvre les pièces d'identité et titres de séjour, les avis d'imposition et bulletins de salaire, les relevés bancaires, les documents médicaux, les contrats signés, et tout ce qui contient un identifiant administratif.

Ce n'est pas une position théorique : l'alerte citée plus haut mentionne explicitement l'extraction de données personnelles dans les fichiers soumis. Le document que tu envoies pour être converti est le document que tu donnes à lire.

La réponse de Zipetto

Nos outils ne téléversent rien. La conversion, la compression et l'assemblage sont exécutés par ton navigateur, sur ton appareil, à l'aide des technologies web standard qui servent déjà à afficher des images et des documents — les deux références techniques en sources décrivent ces mécanismes. Concrètement : zéro requête contenant tes fichiers, et tu peux le vérifier toi-même avec la méthode de l'onglet Réseau décrite plus haut, sur nos pages comme sur celles des autres.

Deux précisions, pour rester exact. Une mesure d'audience peut émettre des événements techniques — une page ouverte, une conversion terminée — qui ne contiennent ni le nom ni le contenu d'un fichier, et qui sont soumis à ton consentement ; le détail est dans notre page confidentialité. Et il n'y a pas de compte, donc pas de fichier stocké, parce qu'il n'y a nulle part où le stocker.

En pratique, cela vaut pour tous nos outils : convertir un HEIC en JPG, compresser une image ou compresser un PDF se font sans qu'aucun octet de ton document ne quitte ta machine. Si tu veux comprendre ce que la compression change réellement à une image avant de t'en servir, on l'a détaillé dans Comment compresser une image sans perdre en qualité ?.