Reconnaître un faux justificatif PDF (facture, attestation) : les signaux techniques à vérifier

Un faux justificatif PDF — facture modifiée, attestation antidatée, relevé retouché — part presque toujours d’un document authentique édité après coup, plutôt que fabriqué de toutes pièces. Cette édition tardive laisse des traces techniques que l’apparence visuelle du document ne révèle pas.

Le premier signal est la présence d’une signature électronique, et son état. Si le document prétend provenir d’un émetteur qui signe habituellement ses justificatifs (administration, banque, grande entreprise) et qu’aucune signature électronique n’est présente, ou qu’une signature présente échoue à la vérification d’intégrité, c’est une incohérence directe entre ce que le document prétend être et ce qu’il est réellement.

Le second signal est structurel : le format PDF autorise les “mises à jour incrémentales”, un mécanisme qui permet d’ajouter des modifications à la fin d’un fichier existant sans réécrire les données d’origine — le fichier conserve alors plusieurs versions successives empilées, chacune marquée par son propre repère de fin de fichier. Un document qui contient plusieurs mises à jour incrémentales a été rouvert et modifié après sa création initiale ; ce n’est pas nécessairement frauduleux (un outil de signature ajoute lui-même une mise à jour incrémentale pour insérer la signature), mais une mise à jour survenue après la signature, ou plusieurs mises à jour sur un document censé être définitif, mérite un examen plus poussé.

Le troisième signal se trouve dans les métadonnées du fichier : le dictionnaire /Info et les métadonnées XMP d’un PDF déclarent souvent le logiciel utilisé pour le créer ou le modifier, ainsi que des dates de création et de dernière modification. Une date de modification postérieure à la date affichée sur le document, ou un logiciel d’édition générique (éditeur de PDF grand public) là où l’émetteur prétendu utilise normalement un système de facturation dédié, sont des incohérences à noter — sans être, seules, une preuve définitive.

Aucun de ces trois signaux pris isolément ne suffit à conclure formellement à une falsification : un document authentique peut avoir un historique d’édition légitime, et un faux bien construit peut ne présenter aucune de ces incohérences si son auteur les a effacées. Mais leur absence de vérification, elle, garantit de ne rien détecter : croiser signature, structure du fichier et métadonnées avant de faire confiance à un justificatif reçu reste la méthode la plus fiable disponible sans expertise judiciaire.