On prépare un dossier client, on fusionne deux captures JPG contenant des noms, des montants ou des coordonnées, et on envoie le résultat par mail sans y réfléchir. Le problème ne vient pas de la fusion elle-même, mais de tout ce qui reste dans le fichier final sans qu’on le voie : métadonnées EXIF, calques non aplatis, données transmises à un serveur tiers. Fusionner des JPG contenant des informations sensibles demande un minimum de méthode avant, pendant et après l’opération.
Métadonnées EXIF dans un JPG fusionné : ce qui fuit sans que vous le voyiez
Quand on assemble deux images JPG, le fichier résultant peut conserver les métadonnées des fichiers sources. Coordonnées GPS, nom de l’appareil, date et heure de prise de vue, parfois même le nom du logiciel utilisé : ces données sont lisibles par n’importe qui disposant d’un simple outil d’inspection EXIF.
Le risque est concret. Un document RH fusionné avec une capture de bulletin de paie peut embarquer la géolocalisation du bureau où la photo a été prise. Supprimer les métadonnées EXIF avant toute fusion est la première étape, pas un bonus.
Sur un poste local, des outils comme ExifTool (ligne de commande) ou le panneau « Propriétés » de Windows (onglet Détails, puis « Supprimer les propriétés et informations personnelles ») permettent de nettoyer chaque fichier source avant de les assembler. Sur macOS, Aperçu ne supprime pas toutes les métadonnées : mieux vaut passer par un utilitaire dédié.
Fusion JPG en ligne : pourquoi les outils gratuits posent un problème de confidentialité
La plupart des outils de fusion d’images en ligne fonctionnent selon le même principe : on téléverse ses fichiers sur un serveur distant, le traitement se fait côté serveur, et on récupère le résultat. Entre ces deux étapes, les images transitent par une infrastructure qu’on ne contrôle pas.
Plusieurs guides de sécurité récents insistent sur un point : ne jamais envoyer d’images sensibles vers un outil en ligne public, y compris les outils d’IA grand public qui proposent de combiner ou retoucher des photos. Les politiques de confidentialité varient d’un service à l’autre, et certaines autorisent l’utilisation des fichiers téléversés à des fins d’entraînement ou d’amélioration du service.
Avant d’utiliser un outil en ligne pour fusionner des JPG contenant des données confidentielles, on vérifie trois choses :
- La politique de confidentialité précise-t-elle que les fichiers sont supprimés après traitement, et dans quel délai ?
- Le traitement se fait-il côté navigateur (client-side) ou côté serveur ? Un traitement côté navigateur signifie que vos images ne quittent pas votre machine.
- Le service est-il hébergé dans une juridiction compatible avec vos obligations (RGPD pour l’Europe, par exemple) ?
Les retours varient sur ce point : certains services affichent des garanties solides, d’autres restent flous. En cas de doute, on privilégie un logiciel installé localement.
Masquage et floutage avant fusion : la bonne méthode pour protéger vos images
Flouter un nom ou un montant avant de fusionner deux JPG semble suffisant. En pratique, un masquage non aplati peut être contourné. Si on applique un rectangle noir ou un flou dans un éditeur qui conserve les calques (Photoshop, GIMP, Photopea), puis qu’on enregistre le fichier au format natif du logiciel sans aplatir, l’information originale reste accessible en dessous du masque.
La procédure fiable tient en trois temps :
- Appliquer un aplat opaque (rectangle noir ou couleur unie) sur la zone à masquer, pas un simple flou léger qui laisse deviner le texte.
- Aplatir tous les calques avant l’export. Dans GIMP : Image > Aplatir l’image. Dans Photoshop : Calque > Aplatir l’image.
- Exporter le résultat en JPG ou PNG. Le fichier exporté ne contient plus les calques d’origine.
C’est seulement après cet aplatissement qu’on procède à la fusion des images. Fusionner deux fichiers déjà nettoyés et aplatis donne un résultat final sûr.
Format d’export après fusion : JPG, PNG ou PDF pour la sécurité
Le choix du format de sortie après fusion n’est pas anodin. Le JPG est le format le plus courant, mais il ne supporte ni le chiffrement natif ni la protection par mot de passe. Si le fichier fusionné doit circuler par mail ou messagerie, il reste lisible par quiconque y accède.
Le format PDF offre une option que le JPG n’a pas : la protection par mot de passe et le chiffrement du document. Convertir le résultat de la fusion en PDF protégé par un mot de passe ajoute une couche de sécurité réelle, surtout pour des documents contenant des données personnelles ou financières.
Le PNG, lui, conserve une meilleure qualité sans compression destructive, mais ne propose pas non plus de chiffrement natif. Pour un usage interne où la qualité prime et où le fichier ne quitte pas un espace de stockage sécurisé, le PNG convient. Pour un envoi externe, le passage en PDF chiffré reste la solution la plus solide.
Stockage du fichier fusionné
Une fois le fichier final généré, le stocker dans un dossier standard de l’appareil ne suffit pas si d’autres personnes y ont accès. Le Dossier verrouillé de Google Photos, par exemple, utilise le verrouillage de l’écran de l’appareil : toute personne connaissant le code du téléphone peut y accéder. Ce n’est pas un coffre-fort indépendant.
Pour un stockage réellement cloisonné, on utilise un outil de chiffrement de fichiers dédié (VeraCrypt sur PC, Cryptomator pour le cloud) ou un espace professionnel avec gestion des droits d’accès.
Checklist avant d’envoyer un JPG fusionné contenant des données sensibles
Avant de partager le fichier final, on passe en revue chaque étape. Les métadonnées EXIF ont été supprimées des fichiers sources. Les zones sensibles ont été masquées avec un aplat opaque, puis les calques ont été aplatis avant export.
La fusion a été réalisée avec un outil local ou un service dont la politique de confidentialité a été vérifiée. Le format de sortie est adapté au niveau de confidentialité requis (PDF chiffré pour un envoi externe). Le fichier est stocké dans un espace protégé, pas dans un dossier partagé ouvert.
Fusionner des images JPG est une opération banale. La rendre compatible avec la protection de données sensibles demande cinq minutes de vérification supplémentaires, pas davantage. C’est le fichier source qu’on nettoie, pas le fichier final qu’on espère sûr.
