INITIALISATION DU SYSTÈME...
Ce que contient le bloc EXIF d’une image, ce que les coordonnées GPS révèlent, et comment lire puis supprimer ces métadonnées sans que la photo quitte votre navigateur.
Les données EXIF sont un bloc d’informations que votre appareil écrit à l’intérieur du fichier image, sans que rien n’apparaisse à l’écran : date et heure exactes, modèle du boîtier, réglages de prise de vue et, sur un smartphone, les coordonnées GPS du lieu à quelques mètres près. Elles survivent à la copie, à l’envoi par courriel et au recadrage.
Cet article décrit ce que contient précisément ce bloc, ce qu’on en déduit, et comment le lire puis le retirer sans que la photo quitte votre navigateur.
Le format Exchangeable Image File Format a été établi en 1995 pour attacher aux images les informations techniques de la prise de vue. Conçu pour les photographes, il est devenu un problème de confidentialité le jour où l’appareil photo a été un téléphone équipé d’un récepteur GPS.
Une photo de smartphone transporte couramment plusieurs dizaines de tags. Les plus exposants ne sont pas les réglages d’exposition, mais les champs d’identification et de localisation.
| Champ | Ce qu’il contient | Ce qu’on en tire |
|---|---|---|
| GPSLatitude / GPSLongitude | Coordonnées du lieu de prise de vue | Adresse du domicile, du lieu de travail, de l’école des enfants |
| GPSAltitude | Altitude au moment du déclenchement | L’étage dans un immeuble |
| DateTimeOriginal | Date et heure exactes du déclenchement | Habitudes, horaires, absences du domicile |
| Make / Model | Marque et modèle de l’appareil | Valeur du matériel détenu |
| BodySerialNumber | Numéro de série du boîtier | Relie entre elles des photos publiées sous des identités différentes |
| Software | Logiciel ayant enregistré le fichier | Indique qu’une retouche a eu lieu, et avec quoi |
Une coordonnée isolée indique un lieu. Un ensemble de photos indique un mode de vie. En croisant les champs GPS et les horodatages d’une série d’images publiées au fil des mois, on reconstitue des trajets réguliers, on distingue le domicile du lieu de travail par l’heure de prise de vue, et on repère les périodes où un logement est vide.
Le champ GPSAltitude ajoute la dimension verticale : dans un immeuble, il réduit la recherche à un étage. Aucune de ces déductions ne demande d’outil sophistiqué ; elles se lisent directement dans les tags, et des scripts les extraient en masse sur des milliers de fichiers.
Retirer l’EXIF ne suffit pas : un fichier image peut porter plusieurs blocs de métadonnées d’origines différentes, qui se recopient parfois l’un l’autre.
| Famille | Qui l’écrit | Contenu typique |
|---|---|---|
| EXIF | L’appareil photo ou le téléphone | Date, GPS, modèle, réglages optiques |
| IPTC | Le photographe ou la rédaction | Auteur, légende, crédit, conditions d’usage |
| XMP | Les logiciels Adobe et assimilés | Recopie EXIF et IPTC, historique des retouches |
| C2PA | Les outils d’IA générative et certains appareils | Manifeste d’origine signé : outil ayant produit l’image, modifications déclarées |
Un nettoyage partiel laisse donc souvent la date et l’auteur dans le XMP alors que l’EXIF a été vidé. C’est la raison pour laquelle GhostMeta procède par réencodage plutôt que par suppression champ par champ : l’image est redessinée à partir de ses seuls pixels, et aucun bloc ne survit à cette opération.
Le risque n’est pas uniforme. Il dépend de qui reçoit le fichier et de ce qu’il en fait. Trois cas concentrent l’essentiel des fuites.
C’est le cas le plus exposant, parce que la photo est prise chez soi et diffusée à des inconnus. Les coordonnées GPS pointent le domicile, et l’horodatage indique quand quelqu’un s’y trouvait. Un acheteur malveillant dispose d’une adresse et d’un inventaire de ce que vous possédez, avant même le premier message.
Contrairement aux plateformes publiques, une pièce jointe transmet le fichier tel quel. Aucun réencodage n’intervient : le destinataire reçoit l’EXIF complet, y compris le GPS et le numéro de série du boîtier. C’est le canal où le nettoyage préalable compte le plus, et celui auquel on pense le moins.
Une image publiée une fois circule ensuite sans vous. Si elle porte un numéro de série, elle relie entre eux tous les clichés pris avec le même appareil, y compris ceux publiés sous un autre pseudonyme et des années plus tard. Le champ le plus discret est ici le plus durable.
Nettoyer le fichier d’origine ne modifie pas les copies déjà diffusées. La marche à suivre est l’inverse de l’ordre habituel : retirer la publication d’abord, puis republier une version nettoyée, plutôt que de corriger sur place.
Avant de nettoyer, regardez ce que vos fichiers contiennent réellement. C’est la seule façon de mesurer l’exposition plutôt que de la supposer, et de vérifier ensuite que le nettoyage a bien eu lieu.
Le traitement s’exécute intégralement dans votre navigateur : l’image est décodée en mémoire, redessinée via l’API Canvas, puis réexportée. Aucune requête réseau ne transporte la photo, et le résultat ne contient aucun bloc de métadonnées, par construction plutôt que par filtrage.
Pour le cas particulier des photos destinées à une annonce en ligne, le guide de sécurité des photos d’annonce détaille la marche à suivre. La page sécurité décrit le fonctionnement technique du traitement local.
Les questions ci-dessous portent sur l’EXIF et le GPS. Pour la provenance des images, les Content Credentials (C2PA) et la vérification d’un fichier après nettoyage, voir le hub questions fréquentes.
Non. Le recadrage modifie les pixels, pas le bloc de métadonnées. La date de prise de vue, le modèle d’appareil et les coordonnées GPS restent intacts dans le fichier recadré. Seul un réencodage complet de l’image, ou une suppression explicite des tags, les retire.
Dans un sous-répertoire dédié du bloc EXIF, le GPS IFD. La latitude et la longitude y sont écrites en degrés, minutes et secondes, accompagnées d’un champ de référence (N/S, E/O) qui donne l’hémisphère. S’y ajoutent souvent l’altitude, un horodatage GPS et parfois le cap suivi. Ces champs sont indépendants de la date de prise de vue : vider l’un ne vide pas l’autre.
La plupart des grandes plateformes réencodent les images à la réception, ce qui fait tomber l’essentiel des tags EXIF de la copie publiée. Ce nettoyage intervient toutefois après que le fichier intact, GPS compris, a été transmis à leurs serveurs. Le retirer avant l’envoi reste la seule façon de contrôler ce qui sort de votre appareil.
Le retrait des tags eux-mêmes ne touche pas aux pixels. La perte éventuelle vient du réencodage : un JPEG réenregistré subit une compression supplémentaire. Un réencodage de bonne qualité rend la différence invisible à l’œil, et les formats sans perte n’en subissent aucune.
L’EXIF est écrit par l’appareil et décrit la prise de vue. L’IPTC est un standard éditorial rempli à la main : auteur, légende, crédit, conditions d’usage. Le XMP est un conteneur d’Adobe qui peut recopier les deux et ajouter l’historique des retouches. Les trois cohabitent dans le même fichier et doivent être retirés ensemble.
Non. Même sans coordonnées, le modèle de l’appareil, la version du logiciel et surtout le numéro de série du boîtier restent des identifiants. Ils suffisent à relier entre elles toutes les photos prises avec le même appareil, y compris publiées sous des pseudonymes différents. L’anonymat suppose de retirer l’ensemble du bloc, pas seulement la localisation.