Téléverser des fichiers dans un formulaire : taille, formats

Une gérance immobilière à Yverdon-les-Bains met en ligne son formulaire d’inscription pour les appartements à louer. Jusqu’ici, les candidatures arrivaient par e-mail avec des pièces jointes de toutes les formes possibles : photos de l’extrait du registre des poursuites, pièces d’identité scannées, fiches de salaire en fichier Word, une archive ZIP de trente mégaoctets. Désormais, le formulaire doit recevoir les fichiers directement.

Un champ de téléversement s’ajoute vite. Mais ce n’est pas un champ comme les autres : on ne sait pas d’avance ce qui y arrivera, il peut être volumineux, et il contient souvent les informations les plus sensibles de toute la démarche. Quelques décisions prises en amont simplifient les choses des deux côtés.

Pourquoi un fichier n’est pas un champ de texte

Un champ de texte reçoit quelques lignes que l’on voit. Un champ de fichier reçoit un contenant dont on ne connaît le contenu qu’à l’ouverture. Trois différences en découlent :

• Le contenu est inconnu. Un fichier peut contenir plus que ce que son nom promet — des pages en plus, des métadonnées, dans le pire des cas du code malveillant.
• La taille est ouverte. Une photo prise avec un téléphone récent pèse bien plus qu’un champ de texte ; une vidéo plus encore.
• La sensibilité est élevée. On téléverse souvent justement les documents qu’on ne taperait pas dans un champ de texte : pièces d’identité, certificats médicaux, certificats de salaire.

Quels formats

Le projet OWASP, une organisation à but non lucratif consacrée à la sécurité des applications, recommande dans sa fiche sur le téléversement de fichiers de dresser la liste des extensions autorisées et de n’admettre que celles dont l’usage a besoin — plutôt que de bloquer des extensions dangereuses, ce qui se contourne facilement.

Pour la gérance, cela donne une courte liste : PDF, JPG et PNG. Les fichiers Word peuvent être convertis en PDF, les archives ZIP ne sont pas nécessaires. Les administrations procèdent de façon comparable : l’administration fiscale du canton de Berne, par exemple, accepte les PDF, PNG et JPG pour les justificatifs.

Une ligne courte sous le champ — « PDF, JPG ou PNG » — évite des questions. Qui a une photo au format HEIC prise avec un iPhone sait alors qu’il faut la convertir.

Quelle taille

L’OWASP recommande de fixer des limites de taille, notamment pour protéger le stockage. Pour le formulaire, il s’agit de choisir une limite adaptée aux documents attendus : un extrait scanné demande quelques mégaoctets, une photo en pleine résolution vite davantage. Le canton de Berne fixe 5 Mo par document pour ses justificatifs.

Ce qui aide la personne qui remplit le formulaire :

• indiquer la limite au niveau du champ, pas seulement dans le message d’erreur ;
• en cas de dépassement, dire comment réduire le fichier ;
• permettre plusieurs fichiers plutôt que d’en exiger un seul, volumineux.

Ce que contiennent les fichiers

Pour une candidature de location, on demande souvent des documents qui en disent long sur une personne : l’extrait des poursuites sur sa situation financière, le justificatif de salaire sur son revenu, la copie de pièce d’identité sur son identité. Dans son guide sur les violations de la sécurité des données, le PFPDT cite expressément la perte de copies de documents d’identité comme exemple de données pouvant représenter un risque élevé, même si elles ne font pas partie des données personnelles sensibles. Et lorsque des formulaires reçoivent des certificats médicaux ou d’autres données sur la santé, il s’agit de données personnelles sensibles (art. 5, let. c, ch. 2, LPD).

Deux questions valent la peine d’être posées avant de créer le champ :

1. Le document est-il vraiment nécessaire, et à ce moment ? Les données personnelles ne peuvent être collectées que dans la mesure où c’est proportionné (art. 6, al. 2, LPD). Une copie de pièce d’identité peut être nécessaire pour signer le bail, mais pas forcément pour la première candidature.
2. Qui voit les fichiers ? L’ordonnance sur la protection des données exige des mesures pour que les personnes autorisées n’aient accès qu’aux données dont elles ont besoin pour leurs tâches (art. 3, al. 1, let. a, OPDo).

La sécurité, en termes simples

La plupart des points techniques relèvent du fournisseur de l’outil de formulaires, pas de l’entreprise. La fiche de l’OWASP cite notamment :

Point	Ce que recommande l’OWASP
Extension	Lister les extensions autorisées
Type déclaré	Le type envoyé par le navigateur peut être falsifié et n’est pas fiable
Signature du fichier	Vérifier le type réel du fichier d’après son contenu
Nom du fichier	Attribuer des noms aléatoires côté serveur
Emplacement	Stocker séparément du site web
Contrôle	Si possible, analyser les fichiers avec un antivirus ou dans un bac à sable

Pour une entreprise qui choisit un outil, ce sont des questions utiles au fournisseur : quels formats peut-on restreindre ? Où les fichiers sont-ils stockés, et combien de temps ? Qui, chez le fournisseur, y a accès ?

Combien de temps les fichiers restent

Les données personnelles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement (art. 6, al. 4, LPD). Pour la gérance, cela signifie que les documents des candidates qui n’obtiennent pas l’appartement ont rempli leur fonction une fois l’appartement attribué. Une règle fixe — une suppression quelques semaines après l’attribution, par exemple — évite que des extraits des poursuites s’accumulent pendant des années dans la messagerie ou dans l’outil de formulaires.

Ce qui peut figurer près du champ

Qui collecte des données personnelles en informe la personne concernée de manière adéquate (art. 19, al. 1, LPD). Le champ de téléversement lui-même est l’endroit où cette information est la plus utile, puisque c’est là que se décide l’envoi d’un fichier :

• à quoi sert le document ;
• qui le voit ;
• quand il est supprimé ;
• quels formats et quelle taille sont possibles.

Quatre lignes courtes suffisent. Elles répondent aux questions qui arriveraient sinon par téléphone ou par e-mail.

Pour la personne qui téléverse

Qui remplit un formulaire a aussi des possibilités. Si un document demandé contient plus que nécessaire — un relevé bancaire avec toutes les opérations du mois alors que seul le salaire doit être prouvé —, on peut demander si un extrait suffit. Qui veut rendre des passages illisibles le fait avec une vraie fonction de caviardage plutôt qu’avec un rectangle posé par-dessus, car un rectangle ne supprime souvent pas le texte en dessous. Et qui téléverse une photo peut d’abord en retirer le lieu enregistré ; pour une photo prise à la maison, c’est sa propre adresse.

Un PDF, par exemple tiré directement de l’e-banking ou du logiciel de salaires, est souvent un meilleur choix qu’une photo du document imprimé : plus léger et plus lisible.

Le formulaire d’Yverdon

La gérance s’en tient finalement à une structure légère : le formulaire de candidature comporte un champ de téléversement pour l’extrait des poursuites, limité aux PDF, JPG et PNG jusqu’à 5 Mo, avec une phrase sur la raison de la demande et le moment de la suppression. La copie de pièce d’identité et les justificatifs de salaire ne sont demandés qu’une fois une candidature retenue dans la sélection finale.

Dans l’app Formulaires que nous développons, les réponses et les fichiers téléversés sont chiffrés dans le navigateur de la personne qui répond et ne sont déchiffrés que dans le navigateur de la destinataire, avec sa clé personnelle. Les durées de conservation et les règles de suppression automatique pourront être définies pour chaque formulaire.