Flouter les visages et supprimer les métadonnées EXIF avant de partager une photo
Chaque photo que vous partagez comporte deux risques, l’un visible et l’autre non : les visages et identifiants présents dans le cadre, et les métadonnées invisibles gravées dans le fichier. N’en traiter qu’un seul vous expose — et le remède habituel pour la moitié visible, le flou, peut souvent être inversé. Ce guide montre comment caviarder une photo correctement, sur votre propre ordinateur, sans rien téléverser.
Les deux risques cachés dans chaque photo
Il y a deux problèmes indépendants, et traiter l’un ne fait rien pour l’autre. Le premier est visible : visages, plaques d’immatriculation, badges, numéros de maison, écrans et documents présents sur la photo. Le second est invisible : les métadonnées que votre appareil photo inscrit dans le fichier — où et quand la photo a été prise, et avec quel appareil. Vous devez traiter les deux, et avec la bonne technique pour chacun.
Ce que les métadonnées EXIF divulguent réellement
Les téléphones et les appareils photo attachent à chaque image un bloc de données appelé EXIF. Il enregistre couramment la date et l’heure de la prise de vue, la marque, le modèle et les réglages de l’appareil, la localisation GPS si les services de localisation étaient activés, l’orientation, le logiciel de retouche utilisé et, dans certains cas, le numéro de série de l’appareil. Les ingénieurs de la vie privée de Proton avertissent que ces « métadonnées invisibles peuvent servir à suivre votre localisation, à reconstituer vos routines quotidiennes ou à vous doxxer, vous ou vos proches ». (Source : Proton.) Rien de tout cela ne s’affiche à l’écran, et cela survit aux retouches ordinaires comme le recadrage ou l’ajustement de la luminosité — ce qui explique pourquoi leur suppression doit être une étape délibérée.
Des cas réels où les métadonnées d’une photo ont révélé une localisation
Ce n’est pas théorique. Une seule photo non nettoyée a suffi à localiser des personnes qui tenaient absolument à ne pas être retrouvées :
| Affaire | Ce que la photo a révélé |
|---|---|
| John McAfee, décembre 2012 | En cavale, McAfee a posé pour une photo qu’un journaliste a publiée avec le géomarquage GPS de l’iPhone toujours présent dans le fichier. Les coordonnées intégrées le situaient en un point précis du Guatemala, près de la frontière avec le Belize ; il a admis sa localisation dès le lendemain. Aucun piratage n’était nécessaire — quiconque téléchargeait l’image pouvait lire les coordonnées. |
| L’arrestation de « w0rmer », 2012 | Un pirate a publié sur Twitter une photo dont les données EXIF GPS la situaient dans une maison de Wantirna South, en Australie. Cette localisation — ainsi que les détails de l’appareil photo contenus dans le fichier — a aidé le FBI à l’identifier et à l’arrêter. |
L’affaire McAfee est le cas d’école : comme l’a formulé Scientific American, « les appareils photo des smartphones inscrivent la localisation, la date, l’heure et les réglages de l’appareil dans le fichier image numérique », si bien qu’une seule photo partagée peut trahir une localisation précise — sans aucun piratage. (Source : Scientific American ; PetaPixel.)
Un visage est une donnée personnelle — et une donnée biométrique dès qu’il identifie quelqu’un
Un visage reconnaissable n’a rien d’accessoire ; c’est une donnée personnelle à part entière. Au sens du RGPD, une image faciale devient une donnée biométrique de catégorie particulière « uniquement lorsqu’elle est traitée par le biais d’un dispositif technique spécifique permettant l’identification ou l’authentification unique d’une personne physique » — par exemple en lui appliquant une reconnaissance faciale. (Source : Considérant 51 du RGPD.) L’ICO britannique trace la même ligne : une photographie ordinaire est une donnée personnelle, mais « n’est pas automatiquement une donnée biométrique, même si vous l’utilisez à des fins d’identification » — elle ne le devient que lorsqu’un algorithme extrait les traits du visage et les transforme en un gabarit. (Source : ICO.) Quoi qu’il en soit, publier le visage d’un passant ou d’une source est une vraie décision de confidentialité — c’est pourquoi le fait de le recouvrir doit réellement fonctionner.
Pourquoi flouter ou pixeliser un visage n’est pas un caviardage sûr
Voici la part contre-intuitive que la plupart des outils de « flou » ratent : une obfuscation faible est réversible. Le flou et la pixelisation ne suppriment pas les détails identifiants — ils les brouillent d’une manière prévisible et mathématiquement récupérable. Le chercheur en sécurité Dan Petro, de Bishop Fox, a conçu un outil, Unredacter, qui récupère le texte d’origine à partir de caviardages pixelisés, parce que la pixelisation n’a pas la « diffusion » qui la rendrait irrécupérable. Sa règle est sans ambiguïté : utilisez des barres pleines et « n’utilisez jamais rien d’autre. Pas de pixelisation, pas de flou, pas de brouillage, pas de tourbillon ». (Source : Bishop Fox.)
Les preuves que le flou et la pixelisation peuvent être inversés
Ce n’est pas l’opinion d’un seul chercheur — c’est un résultat bien documenté, aussi bien sur le texte que sur les visages :
- Un texte pixelisé peut être relu. Depix est une preuve de concept publique qui récupère du texte en clair — à l’origine un mot de passe administrateur pixelisé — à partir d’une capture d’écran floutée avec un filtre linéaire. (Source : Depix.) Le défi public Unredacter de Bishop Fox a ensuite été remporté sur une véritable chaîne pixelisée, prouvant que l’attaque fonctionne hors du laboratoire. (Source : Bishop Fox.)
- Les visages floutés et mosaïqués peuvent être réidentifiés. Dans une étude évaluée par les pairs, un réseau de neurones a identifié des visages mosaïqués en 16×16 avec une exactitude de 96,25 % et des visages floutés par YouTube avec une exactitude de 57,75 %, concluant que l’obfuscation d’une image « pourrait ne plus suffire à protéger la vie privée ». (Source : McPherson, Shokri & Shmatikov.)
- La plupart des méthodes d’anonymisation sont au moins partiellement réversibles. L’étude « Fantômas » de 2024 a constaté que 11 des 15 méthodes d’anonymisation des visages testées — dont le flou gaussien et la pixelisation — pouvaient être au moins partiellement inversées, parce qu’elles ne font que masquer les informations identifiantes au lieu de les supprimer. (Source : Fantômas, PoPETS 2024.) Une méthode de 2025 va plus loin, utilisant un modèle de diffusion pour restaurer des visages floutés par flou gaussien tout en préservant l’identité. (Source : arXiv 2506.12344.)
Un caviardage irréversible : cadres pleins pour l’image, suppression radicale pour les métadonnées
Le remède découle directement du problème. Pour la moitié visible, recouvrez les visages et les identifiants d’un cadre plein et opaque afin que les pixels situés en dessous disparaissent tout simplement de la copie que vous partagez — rien à reconstruire. Pour la moitié invisible, supprimez réellement les métadonnées au lieu de vous en remettre à une plateforme pour le faire à votre place. Faites les deux, et vérifiez.
Pourquoi le faire sur votre propre ordinateur, et non avec un outil en ligne de flou ou de suppression EXIF
Il est tentant de coller une photo dans un outil web de « flou de visage » ou de « suppression EXIF ». Mais songez à ce que cela signifie : pour protéger une photo sensible, vous venez de téléverser l’original — visages, GPS et tout le reste — sur le serveur de quelqu’un d’autre. C’est l’inverse de la confidentialité. Occlira fait les deux — recouvrir les visages d’un cadre plein et supprimer les EXIF — en local, sans rien téléverser. Le faire sur votre propre machine conserve le fichier d’origine en local, sans compte ni téléversement — la même raison pour laquelle le traitement sur l’appareil est le choix par défaut le plus sûr, pour les documents comme pour l’audio. Vous pouvez lire exactement ce qui reste sur votre appareil sur notre page Pratiques en matière de données et de confidentialité.
Comment flouter les visages et supprimer les EXIF avant de partager — étape par étape
- Détectez les visages sur votre propre ordinateur. Ouvrez la photo dans un outil qui exécute la détection de visages en local, afin que l’image sensible ne soit jamais téléversée vers un service en ligne. Laissez-le repérer et marquer automatiquement chaque visage en guise de premier passage.
- Recouvrez chaque visage et chaque identifiant d’un cadre opaque. Pas un flou ni une mosaïque — un cadre plein. Recouvrez chaque visage, mais aussi les identifiants plus discrets qu’un détecteur ne signalera pas : plaques d’immatriculation, badges et cordons d’identification, numéros de maison, écrans d’ordinateur, documents posés sur un bureau et reflets dans les vitres ou les lunettes.
- Vérifiez que le caviardage est irréversible. Tout l’intérêt du cadre est que les pixels situés en dessous ont disparu de la copie que vous partagez — ce n’est pas un filtre que l’on pourrait retirer. Si votre outil applique un flou réversible, remplacez-le par un masque plein pour tout ce que vous publiez.
- Supprimez la localisation et les métadonnées EXIF. Supprimer le visage visible ne change rien aux métadonnées invisibles. Dans une étape distincte, effacez les coordonnées GPS, la marque, le modèle et le numéro de série de l’appareil photo, les horodatages et l’historique des modifications gravés dans le fichier.
- Vérifiez la copie exportée. Rouvrez le fichier nettoyé et contrôlez deux points : aucun visage n’est récupérable, et une visionneuse EXIF montre que les métadonnées sont vides. Ne présumez rien — confirmez.
- Gardez l’original confidentiel. Ne partagez que la copie exportée. Conservez l’original intact — avec ses visages et ses métadonnées — sur votre propre machine.
Liste de contrôle avant partage
- Chaque visage recouvert d’un cadre opaque — pas d’un flou ou d’une mosaïque réversible.
- Plaques, badges, écrans, documents et reflets également masqués par un cadre.
- Données GPS / de localisation supprimées.
- Marque, modèle, numéro de série et horodatage de l’appareil photo supprimés.
- Fichier exporté revérifié dans une visionneuse EXIF — les métadonnées sont vides.
- Original gardé confidentiel ; seule la copie nettoyée est partagée.
Faites-le sur l’appareil avec Occlira
Occlira corrige les deux moitiés du risque photo en un seul passage sur l’appareil. Il détecte les visages en local et propose trois styles de masquage — flou, mosaïque ou cadre plein — et vous laisse tracer un cadre sur tout ce que le détecteur a manqué. Comme le flou et la mosaïque peuvent être inversés, choisissez le cadre plein pour tout ce que vous publiez. Dans la même étape, il supprime les métadonnées GPS et EXIF — localisation, marque et modèle de l’appareil et horodatages — et il laisse votre fichier original intact, en exportant une copie nettoyée à partager. Rien n’est téléversé, et il n’y a pas de compte.
Ce n’est qu’une partie d’une panoplie plus large fonctionnant sur l’appareil, qui caviarde aussi Word, PDF et Excel et bipe les noms hors de l’audio — le tout en local. Une précision honnête, la même que nous employons ailleurs : le mode d’anonymisation réversible d’Occlira pour le texte est une pseudonymisation, si bien que ce résultat reste une donnée personnelle. Mais un cadre opaque sur une photo et un bloc EXIF supprimé sont irréversibles par conception — ce qui est exactement ce que vous voulez pour une image que vous vous apprêtez à publier. Occlira vous aide à réussir cette opération ; ce n’est pas une garantie, et vous vérifiez chaque résultat.
Foire aux questions
Souvent, oui. Le flou et la pixelisation ne font que masquer les détails identifiants au lieu de les supprimer, si bien qu’ils peuvent être récupérés. Des chercheurs ont conçu des outils publics qui inversent la pixelisation (Unredacter de Bishop Fox, Depix), et des réseaux de neurones ont réidentifié des visages mosaïqués et floutés à des taux élevés. Une méthode de 2025 restaure même des visages floutés par flou gaussien suffisamment bien pour réidentifier les personnes. Considérez le flou comme cosmétique, non comme du caviardage.
Pas de façon fiable. Comme le flou est réversible, le choix sûr pour tout ce que vous publiez est un cadre plein et opaque posé sur le visage — les pixels situés en dessous sont supprimés de la copie partagée, si bien qu’il n’y a plus rien à reconstruire.
Un cadre plein. Le chercheur en sécurité Dan Petro, qui a conçu un outil pour inverser la pixelisation, le dit sans détour : utilisez des barres noires, et « pas de pixelisation, pas de flou, pas de brouillage, pas de tourbillon ». Le flou et la mosaïque paraissent anonymisés à l’œil humain, mais un logiciel peut les annuler.
Un visage reconnaissable est toujours une donnée personnelle. Il ne devient une donnée biométrique de catégorie particulière que lorsqu’il est traité « par le biais d’un dispositif technique spécifique permettant l’identification unique » d’une personne — par exemple en lui appliquant une reconnaissance faciale (considérant 51 du RGPD). L’ICO apporte la même nuance pour le RGPD britannique. Quoi qu’il en soit, un visage est véritablement sensible.
Oui. Les coordonnées GPS font partie des champs EXIF ; retirer les métadonnées EXIF supprime donc la localisation en même temps que la marque, le modèle et le numéro de série de l’appareil photo ainsi que les horodatages. C’est une étape distincte du recouvrement des visages — vous devez faire les deux.
La plupart des grandes plateformes suppriment les EXIF au téléversement, mais c’est irrégulier, hors de votre contrôle, et cela ne fait rien contre les visages visibles sur la photo — et vous avez malgré tout dû d’abord téléverser l’original sur leurs serveurs. Si une photo est sensible, supprimez vous-même les métadonnées, sur votre propre machine, avant qu’elle ne parte où que ce soit.
Une capture d’écran écarte bien les EXIF du fichier d’origine, puisqu’elle capture des pixels au lieu de copier le fichier. Mais c’est un contournement à perte : elle réduit la qualité, peut ajouter ses propres métadonnées et — surtout — ne fait rien pour masquer les visages ou les identifiants encore visibles dans le cadre.
Oui — et vous le devriez. Téléverser une photo sensible vers un outil en ligne de « flou » ou de « suppression EXIF », c’est l’inverse de la confidentialité. Occlira fait les deux sur votre propre ordinateur : il détecte et recouvre les visages (choisissez un cadre plein pour tout ce que vous publiez) et supprime les métadonnées GPS/EXIF, en laissant votre original intact et sans rien téléverser.
Caviardez une photo de la bonne façon
Recouvrez les visages d’un véritable cadre et supprimez les métadonnées — sur votre propre ordinateur. Gratuit pendant 14 jours sur Windows et macOS.
Plus : caviardage local ou dans le cloud · pour les journalistes · comment vos données sont traitées