Vous souhaitez partager un PDF avec deux groupes de personnes. Le groupe A devrait être capable de visualiser, d’imprimer et de copier du texte. Le groupe B ne devrait pouvoir que voir. Vous définissez deux mots de passe différents et envoyez le fichier aux deux groupes, en vous attendant à ce que le PDF applique des autorisations différentes en fonction du mot de passe saisi. Vous découvrez ensuite que la spécification PDF ne prend en charge qu'un seul mot de passe d'autorisation par fichier. Toute personne qui ouvre le document avec le mot de passe d'autorisations obtient le même ensemble d'autorisations, quelle que soit sa personne.
L'architecture PDF Mot de passe a été conçue pour une époque plus simple où les documents étaient partagés avec un seul public. Le modèle à deux mots de passe, un mot de passe ouvert pour l'affichage et un mot de passe d'autorisation pour la modification, ne prend pas en charge le contrôle d'accès basé sur les rôles avec différents niveaux d'autorisation pour différents utilisateurs. Comprendre cette limitation vous aide à choisir la bonne approche de sécurité pour les documents nécessitant un accès différencié.
La limitation du mot de passe à autorisations uniques
Un fichier PDF contient exactement un ensemble d'indicateurs d'autorisation : impression autorisée ou non, copie de texte autorisée ou non, modification autorisée ou non, etc. Ces indicateurs sont déverrouillés par un seul mot de passe d'autorisation. Il n'existe aucun mécanisme dans la spécification PDF pour stocker plusieurs ensembles d'autorisations ou plusieurs mots de passe d'autorisations. L'architecture est constituée d'un mot de passe, d'un ensemble d'autorisations, appliqués uniformément à tous ceux qui saisissent ce mot de passe.
Cette limitation fait partie de la spécification PDF depuis la version 1.1 et n'a pas changé dans PDF 2.0. Le comité des normes a envisagé d'ajouter des autorisations basées sur les rôles, mais a conclu que cela ajouterait une complexité significative aux lecteurs PDF sans une demande suffisante de la part des utilisateurs. L'hypothèse est que l'accès différencié doit être géré au niveau de la distribution des fichiers, et non au niveau de la sécurité des fichiers.
Le modèle PDF Security a été conçu pour protéger un document contre tout accès et modification non autorisés pendant la transmission et le stockage. Il n'a pas été conçu pour remplacer un système de gestion de documents par des contrôles d'accès au niveau des utilisateurs. Reconnaître cette distinction permet de définir des attentes réalistes quant à ce que les mots de passe PDF peuvent et ne peuvent pas faire.
Essayez de protéger le PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.
Solutions de contournement pour l'accès différencié
La solution de contournement la plus pratique consiste à créer deux versions du PDF avec des paramètres d'autorisation différents et à distribuer chacune au groupe approprié. La version pour le groupe A dispose d'autorisations généreuses permettant l'impression et la copie. La version pour le groupe B dispose d'autorisations restrictives permettant uniquement la visualisation. Les deux versions peuvent être créées à partir du même PDF source en quelques secondes en définissant différents mots de passe d'autorisation et en les enregistrant sous forme de fichiers séparés.
WukongPDF vous permet d'appliquer Cryptage PDF et les paramètres de mot de passe via le navigateur. Pour un accès différencié, créez une version avec les autorisations appropriées à chaque public. Nommez clairement les fichiers pour indiquer quelle version est destinée à quel public, par exemple Report_FullAccess.pdf et Report_ViewOnly.pdf.
Une approche plus sophistiquée utilise un système de gestion de documents ou une plate-forme de partage de fichiers sécurisée qui applique les autorisations au niveau de l'utilisateur au niveau de la couche d'accès plutôt qu'au niveau de la couche fichier. Le PDF lui-même n'a pas de mot de passe d'autorisation. La plateforme contrôle qui peut afficher, télécharger, imprimer ou modifier le fichier en fonction de son identité authentifiée. Cette approche fournit l'accès différencié qui manque à la spécification PDF.
Quand plusieurs versions sont la bonne approche
La création de plusieurs versions avec des autorisations différentes fonctionne bien pour les scénarios de distribution récurrents. Un rapport financier mensuel distribué aux dirigeants avec accès complet et aux chefs de service avec accès en consultation seule suit le même schéma chaque mois. Créez les deux versions une fois, enregistrez les paramètres d'autorisation en tant que préréglage et appliquez-les chaque mois. L’effort continu est minime.
Plusieurs versions fournissent également une distinction claire en matière d'audit. Si une version en lecture seule d'un document apparaît quelque part où elle ne devrait pas apparaître, vous pouvez savoir quel groupe de distribution a reçu cette version. Cette traçabilité est plus difficile à réaliser avec un seul fichier protégé par un seul mot de passe d'autorisation partagé avec plusieurs groupes.
Pour les distributions ponctuelles où la création de plusieurs versions semble excessive, demandez-vous si la distinction des autorisations est réellement importante. Si les deux groupes sont des collègues internes qui pourraient de toute façon partager des informations verbalement, la différence d’autorisation formelle peut être moins importante que la commodité d’un seul fichier.
Communiquer les attentes en matière d'autorisation aux destinataires
Lorsque vous distribuez plusieurs versions d'un PDF avec des autorisations différentes, indiquez clairement aux destinataires quelle version ils reçoivent et pourquoi. Une brève note expliquant qu'il existe deux versions du document, une avec accès complet et une avec accès en lecture seule, et qu'ils reçoivent la version appropriée pour leur rôle, évite toute confusion et les demandes pour l'autre version.
Si les destinataires du groupe en lecture seule demandent la version à accès complet, disposez d'un processus pour évaluer et approuver ces demandes. La distinction entre autorisations doit refléter un véritable besoin commercial et non une classification arbitraire. Les destinataires qui peuvent démontrer un besoin légitime d'un accès complet doivent le recevoir via le processus d'approbation établi.
Certaines plates-formes de documents sécurisés résolvent le problème d'accès différencié en enveloppant le PDF dans une couche qui fournit un contrôle d'accès au niveau de l'utilisateur. Le PDF lui-même n'a pas de mot de passe. La plateforme authentifie chaque utilisateur et fournit une version du PDF avec les autorisations appropriées à ce rôle d'utilisateur. Cette approche est plus flexible que le modèle de mot de passe intégré PDF.
Les systèmes de gestion des droits relatifs à l'information (IRM) de Microsoft et d'autres fournisseurs offrent une autre couche de protection. Un document protégé par IRM applique les autorisations basées sur l'identité authentifiée de l'utilisateur, et non sur un mot de passe partagé. Les autorisations peuvent inclure des restrictions d'affichage, d'impression, de copie et de transfert, et elles peuvent être révoquées une fois le document distribué.
Lorsque vous choisissez entre plusieurs versions PDF et une approche basée sur une plateforme, tenez compte de l'environnement technique du destinataire. Plusieurs versions PDF fonctionnent pour n’importe quel destinataire avec n’importe quel lecteur PDF. Les approches basées sur une plateforme nécessitent que le destinataire ait accès à la plateforme. Pour les destinataires externes qui ne disposent pas de l'accès requis à la plateforme, plusieurs versions PDF sont plus universellement compatibles.
Documentez la stratégie d’autorisation dans le cadre du dossier de distribution de documents. Notez quelle version a été envoyée à quel destinataire, les autorisations dont disposait chaque version et la date de distribution. Cette documentation prend en charge les exigences d'audit et fournit une référence si des questions se posent sur qui a eu accès à quelle version.
Le mot de passe des autorisations dans PDF n’est pas un secret au sens cryptographique. Il peut être supprimé par de nombreux outils disponibles gratuitement. Le mot de passe des autorisations est un ralentisseur, pas une barrière de sécurité. Cela empêche toute modification occasionnelle mais n'empêche pas un destinataire déterminé de supprimer les restrictions. La définition des autorisations doit être effectuée avec cette limitation clairement comprise.
Pour le partage externe où vous avez besoin d'une assurance solide que le destinataire ne peut pas modifier ou copier le document, les signatures numériques combinées aux mots de passe d'autorisation constituent une solution plus solide. La signature numérique détecte toute modification et le mot de passe des autorisations rend toute modification occasionnelle peu pratique. La combinaison est plus efficace que l’une ou l’autre approche seule.
Lors de la création de plusieurs versions avec des autorisations différentes, ajoutez un filigrane à chaque version pour indiquer son niveau d'autorisation. Une version filigranée comme VIEW UNIQUEMENT indique aux destinataires quelle version ils ont reçue et réduit les demandes pour la version à accès complet.
Les journaux de distribution de documents doivent enregistrer quelle version a été envoyée à quel destinataire. Si la version en lecture seule fuit, le journal de distribution identifie les destinataires qui ont eu accès à cette version. Cette traçabilité soutient la réponse aux incidents et démontre la diligence raisonnable.
Pour les documents très sensibles, déterminez si les autorisations PDF offrent une protection suffisante. Un destinataire déterminé peut supprimer les mots de passe d'autorisation d'un PDF à l'aide d'outils disponibles gratuitement. Si le contenu du document est vraiment sensible, limitez sa distribution aux destinataires qui sont contractuellement ou légalement tenus de le protéger.
Le modèle d'autorisations PDF est mieux adapté aux scénarios simples : un document est restreint ou non. Pour les exigences complexes de contrôle d'accès, un système de gestion de documents avec des autorisations au niveau de l'utilisateur offre la granularité qui manque à la spécification PDF.
Lorsque vous distribuez des PDF avec des mots de passe d'autorisation, testez les autorisations sur une copie avant de l'envoyer. Ouvrez la copie, essayez d'imprimer, de copier le texte et de le modifier. Confirmez que les restrictions fonctionnent comme prévu avant que le document n'atteigne le destinataire.
Le mot de passe des autorisations doit être différent du mot de passe d'ouverture si les deux sont utilisés. L’utilisation du même mot de passe pour les deux va à l’encontre de l’objectif d’avoir deux mots de passe distincts. Le mot de passe ouvert contrôle l’accès et le mot de passe des autorisations contrôle l’utilisation.
L’approche par mot de passe des autorisations fonctionne mieux lorsque les groupes d’audience sont clairement définis et stables dans le temps. Lorsque l’appartenance à un groupe change fréquemment, la maintenance de plusieurs versions devient fastidieuse. Une plateforme de gestion de documents avec des autorisations au niveau de l'utilisateur s'adapte plus facilement aux changements d'appartenance à un groupe.
Pour les documents distribués par courrier électronique, considérez que le transfert de courrier électronique peut envoyer le document à des destinataires au-delà du public d'origine. Un mot de passe d'autorisations n'empêche pas le transfert. Cela limite uniquement ce que le destinataire peut faire avec le document après l'avoir reçu.
Les limitations des autorisations PDF doivent être clairement comprises par toute personne responsable de la sécurité des documents. Les autorisations PDF constituent une première ligne de défense, et non la seule. Ils doivent faire partie d'une stratégie plus large de sécurité des documents qui inclut le contrôle d'accès, le suivi de la distribution et les accords avec les destinataires.
Il est peu probable que la limitation du mot de passe d'autorisation unique de la spécification PDF change, car le format donne la priorité à la simplicité et à une large compatibilité plutôt qu'à la richesse des fonctionnalités de son modèle de sécurité.
Pour la plupart des organisations, l'approche pratique de l'accès différencié aux PDF consiste à créer des versions distinctes pour chaque niveau d'autorisation et à gérer la distribution avec soin plutôt que de tenter d'obtenir des autorisations au niveau utilisateur dans un seul fichier PDF.
| Approche | Comment ça marche | Avantages | Cons |
|---|---|---|---|
| Plusieurs versions PDF | Créer un PDF par niveau d'autorisation | Fonctionne avec n'importe quel lecteur PDF | Plusieurs fichiers à gérer et à distribuer |
| Système de gestion de documents | La plateforme applique les autorisations par utilisateur | Contrôle granulaire ; piste d'audit | Nécessite un accès à la plateforme du destinataire |
| Gestion des droits relatifs à l'information | IRM protège le fichier au niveau du système d'exploitation | Révocable; forte protection | Nécessite un client IRM ; configuration complexe |
| Mot de passe à autorisations uniques | Un mot de passe pour tous les utilisateurs restreints | Approche la plus simple | Aucune différenciation au niveau de l'utilisateur |
Essayez de protéger le PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.