Les convertisseurs de fichiers en ligne sont-ils sûrs ? 4 risques liés à l’envoi de fichiers et une alternative plus sûre

Ce qui arrive à un fichier après son envoi

La plupart des convertisseurs en ligne fonctionnent ainsi :

1. Votre fichier transite par le réseau jusqu’à leur serveur
2. Le serveur le stocke et le place dans la file d’attente de conversion
3. Le fichier converti est lui aussi stocké sur le serveur, en attendant que vous le téléchargiez
4. Au bout d’un certain temps (de quelques heures à quelques jours, selon leurs règles), les deux sont supprimés

Dès l’étape 1, il existe une copie de votre fichier que vous ne contrôlez pas. La durée de conservation, les personnes qui y ont accès et les autres usages qui en sont faits dépendent de leur politique de confidentialité, et de leur respect réel de celle-ci, que vous ne pouvez pas vérifier.

4 risques liés à l’envoi de fichiers vers un convertisseur

1. Une copie de votre fichier reste sur le serveur de quelqu’un d’autre

Un serveur ne peut pas convertir un fichier qu’il n’a pas : la copie stockée n’est donc pas une négligence d’un site en particulier, c’est le fonctionnement même de ce modèle. Même avec une promesse de suppression au bout d’une heure, le fichier est entre les mains de quelqu’un d’autre pendant cette heure, et exposé à toute éventuelle fuite de données.

2. Le contenu peut être analysé ou réutilisé

Les services gratuits doivent bien gagner de l’argent d’une manière ou d’une autre. Les conditions de certains convertisseurs gratuits les autorisent à traiter ou analyser ce que vous envoyez, et peu de gens lisent la politique de confidentialité complète avant de convertir.

3. Faux sites de conversion et logiciels malveillants

En mars 2025, le bureau du FBI à Denver a lancé un avertissement : des criminels exploitent de faux sites de « convertisseur de fichiers gratuit » qui effectuent bien la conversion, mais cachent un logiciel malveillant dans le fichier téléchargé et extraient des documents envoyés des informations personnelles comme les numéros de sécurité sociale, les dates de naissance et les numéros de téléphone. Leur adresse web diffère souvent de celle d’un site légitime par une seule lettre. La société de sécurité Malwarebytes a confirmé ces attaques.

4. Enfreindre les règles de confidentialité ou de conformité de l’entreprise

De nombreuses politiques de sécurité d’entreprise interdisent d’envoyer des documents internes vers des services cloud non approuvés. Pour des données clients, des fichiers couverts par un accord de confidentialité (NDA) ou des données personnelles soumises à des réglementations comme le RGPD, l’envoi vers un convertisseur tiers peut constituer en soi une infraction, même si rien ne fuit jamais.

Comment savoir si un convertisseur envoie votre fichier

1. Le test hors ligne : convertissez une fois, puis déconnectez-vous sans recharger la page et convertissez un autre fichier. Si la conversion aboutit, elle est locale ; si elle échoue ou bloque, elle a besoin d’un serveur
2. Surveillez le réseau : appuyez sur F12, ouvrez le panneau Réseau et cherchez, pendant la conversion, une requête d’envoi d’une taille proche de celle de votre fichier
3. Lisez la politique de conservation : cherchez « conservation » ou « suppression » pour savoir combien de temps les fichiers sont gardés

Des façons plus sûres de convertir des fichiers sensibles

• N’utilisez pas de convertisseurs en ligne inconnus pour des fichiers sensibles, en particulier des sites que vous n’aviez jamais vus avant un résultat de recherche
• Utilisez des outils qui n’envoient rien : un logiciel de bureau, ou un convertisseur comme Convertube qui fonctionne dans le navigateur
• Vérifiez l’adresse : assurez-vous qu’il s’agit bien du site que vous connaissez, et non d’un domaine qui lui ressemble
• Analysez les téléchargements : passez un antivirus sur les fichiers que vous récupérez

Conversion dans le cloud ou en local

Ce que Convertube peut et ne peut pas promettre

Convertube n’a aucun serveur qui reçoit des fichiers : le site est un ensemble de pages web statiques et chaque conversion s’exécute dans votre navigateur. Ce que nous pouvons promettre, c’est donc que votre fichier n’est pas envoyé sur un serveur, et vous pouvez le vérifier à tout moment avec le test hors ligne.

Ce que nous ne pouvons pas promettre, c’est la sécurité de votre propre appareil : s’il est déjà infecté, aucun outil ne peut protéger vos fichiers. Par ailleurs, la première conversion de chaque type télécharge son moteur (environ 80 Mo, ensuite mis en cache), et la conversion vidéo est plus lente dans Safari que dans les autres navigateurs.