Comment masquer des informations sur une capture d’écran pour de bon

Trois façons de rater un masquage

• La partie cachée est toujours dans le fichier. Début 2023, des chercheurs ont montré que l’Outil Capture d’écran de Windows, ainsi que l’éditeur Markup de Google sur les téléphones Pixel, pouvaient laisser la partie rognée d’une image à l’intérieur d’un fichier recadré puis enregistré par-dessus lui-même, d’où l’on pouvait la récupérer. Les deux ont été corrigés en quelques semaines, mais les fichiers enregistrés avant le correctif contiennent toujours les données résiduelles, et la leçon demeure : seule une image fraîchement exportée peut être partagée sans risque.
• Le cache peut être retiré. Un rectangle noir dessiné dans PowerPoint, un surlignage dans un PDF ou un calque dans un éditeur d’images est un objet distinct. Quiconque possède le fichier d’origine peut le déplacer.
• La pixellisation peut être inversée. Des outils de recherche comme Depix et Unredacter ont reconstitué du texte pixellisé, mots de passe compris, quand la police, la taille des caractères et la taille des blocs étaient connues. Le conseil de leurs auteurs est sans détour : pour un texte important, utilisez des rectangles pleins, jamais la pixellisation ni le flou.

Comment bien masquer

1. Travaillez sur une copie, et ne capturez dès le départ que ce que vous devez partager.
2. Couvrez la valeur entière — tout le jeton, tout le numéro de carte ou toute l’adresse e-mail, pas seulement une partie — avec une marge autour.
3. Pour du texte, utilisez un rectangle plein et opaque — Paint, par exemple, en dessine un avec la forme rectangle et un remplissage uni. Réservez la pixellisation et le flou aux visages, aux photos et aux longs passages.
4. Exportez une nouvelle image (PNG ou JPEG), pour que le masquage fasse partie des pixels au lieu d’être un objet posé par-dessus.
5. Ouvrez le fichier exporté et vérifiez-le une dernière fois avant de l’envoyer.

Repérer ce que vous n’avez pas remarqué

Le secret qui fuit n’est généralement pas celui que vous avez masqué. C’est la clé d’API dans le terminal derrière la boîte de dialogue, l’e-mail du client dans un onglet du navigateur, un jeton de session dans une URL, ou un nom dans une notification apparue au moment où vous appuyiez sur la touche.

L’objectif Trouver les secrets de ScreenFeel encadre chaque trouvaille sur la capture elle-même — clés, jetons, mots de passe, numéros de carte et de compte bancaire, numéros d’identité, adresses e-mail, numéros de téléphone, adresses postales et URL contenant des identifiants — et indique ce qu’est chacune et sa gravité apparente. Avant l’exécution de tout objectif, ScreenFeel vérifie aussi sur votre PC, sans aucun appel réseau, le texte qu’il a déjà lu, à la recherche de chaînes ayant la forme d’une clé, d’un jeton ou d’une carte.

Masquer dans le Studio de ScreenFeel

Studio dispose d’un outil de masquage qui pixellise ou floute, et les cadres de Trouver les secrets peuvent être masqués un par un ou tous à la fois. Dans les deux cas, le masquage est fondu dans l’image exportée au lieu d’être posé par-dessus, et l’export est redessiné à neuf par le même moteur de rendu que la toile : rien des pixels d’origine ne subsiste dans le fichier. Ses blocs de pixels sont grossiers — plus grands que ceux que les travaux publiés ont su inverser —, mais cela reste de la pixellisation : pour un mot de passe ou une clé courts, changez aussi l’identifiant.

Quand un secret a déjà été partagé

Le masquage protège le prochain partage, pas le précédent. Si une image contenant un mot de passe, une clé d’API ou un jeton encore valide a déjà été envoyée quelque part — une discussion, un ticket, un e-mail —, considérez qu’elle a été vue : révoquez ou renouvelez l’identifiant, puis masquez et partagez de nouveau.

Les autres questions qu’on se pose