Ce qu’un outil PDF peut voir dans votre Google Drive

Trois niveaux, et ils ne sont pas proches les uns des autres

Quand un site veut travailler avec votre Drive, il doit nommer une autorisation — l’étendue d’accès qu’il demande. Google les classe par paliers, selon les dégâts qu’une mauvaise application pourrait faire avec l’une d’elles.

drive.file est l’étroite. Le site peut ouvrir les fichiers que vous lui confiez explicitement via le sélecteur de Google, et les fichiers qu’il crée lui-même. Tout le reste de votre Drive n’est pas seulement interdit — il est invisible. Aucune requête que le site puisse faire ne renvoie un fichier que vous n’avez pas choisi. Google la classe comme non sensible.

drive.readonly et drive.metadata.readonly couvrent tout le Drive, en lecture. Chaque document, chaque dossier, chaque nom. Google les classe comme restreintes, et un site qui en utilise une doit passer chaque année une évaluation de sécurité indépendante pour la conserver.

drive est l’accès complet : lire, modifier et supprimer n’importe quoi. Restreinte également, évaluée chaque année également.

L’écart entre la première et les autres n’est pas une affaire de degré. L’une dit « ce fichier que je viens de choisir » ; les autres disent « tout ». Un utilitaire qui convertit un document a besoin de la première, et une application qui doit ouvrir vos documents comme le fait un logiciel de bureau — un outil de sauvegarde, un gestionnaire documentaire — a de vraies raisons de demander les autres. La question à poser à propos de n’importe quel site n’est pas s’il demande l’accès à Drive, mais lequel il demande.

Pourquoi le sélecteur de fichiers est la partie importante

Avec l’autorisation étroite, le site ne peut pas vous montrer la liste de vos fichiers, parce qu’il ne peut pas l’obtenir. Le sélecteur de fichiers que vous voyez n’est donc pas celui du site. C’est le sélecteur de Google lui-même, exécutant le code de Google, qui vous montre votre Drive.

C’est cet arrangement qui donne du sens à l’autorisation. Vous parcourez votre Drive dans l’interface de Google ; le site ne regarde pas. Quand vous choisissez un fichier, Google donne au site l’accès à ce fichier et à rien d’autre. Ne choisissez rien et le site n’apprend rien — ni que vous avez regardé, ni ce qu’il y avait.

Cela a aussi une conséquence facile à prendre pour une fonctionnalité manquante. Un site qui ne détient que cette autorisation ne peut pas remplir un menu « enregistrer dans le dossier » depuis votre Drive, parce que lister les dossiers est précisément à quoi servent les autorisations larges. Tout site qui vous montre bien votre arborescence de dossiers a demandé considérablement plus que cela. Sur iBuildPDF, les dossiers de destination sont choisis via le sélecteur de dossiers de Google, et ceux que vous avez choisis sont mémorisés dans votre propre navigateur : le menu se remplit donc à l’usage. Cette liste, ce sont les dossiers que vous avez choisis, pas un inventaire de votre Drive.

Le même mécanisme explique qu’un bouton Drive sur un site ne puisse rien faire avant que vous ne l’actionniez. Jusque-là, il n’y a aucune autorisation, aucun jeton, et rien de Google qui s’exécute sur la page.

Ce que ce site a demandé

iBuildPDF utilise drive.file, et rien d’autre. En pratique :

• Cela ne fait pas partie de la connexion. Continuer avec Google pour créer un compte ne l’accorde pas. L’autorisation est demandée la première fois que vous appuyez sur un bouton Drive sur la page d’un outil, et jamais autrement.
• C’est facultatif. Tous les outils du site fonctionnent avec des fichiers de votre appareil, sans compte et sans aucune autorisation Drive.
• Le jeton d’accès reste dans l’onglet du navigateur. Il est créé par le script de Google dans l’onglet, conservé dans une variable à cet endroit, et abandonné à la fermeture de l’onglet. Il n’est pas envoyé au serveur de ce site, pas écrit dans un cookie, et pas écrit dans le stockage du navigateur. L’identifiant du fichier et le nom du dossier ne sont pas transmis au serveur non plus.
• Nous ne pouvons pas lister votre Drive, et c’est une propriété de l’autorisation plutôt qu’une promesse sur notre conduite — ce qui est le genre d’assurance qui vaut quelque chose, parce qu’elle ne dépend pas de nous.

Ce que cela ne vous dit pas, c’est quoi que ce soit au sujet des autres sites. L’écran d’autorisation est ce qu’il faut lire, chaque fois : il nomme ce qui est demandé avec les mots de Google, pas ceux du site. Les outils PDF en ligne gratuits sont-ils sûrs ? traite la question plus large de ce qu’il faut vérifier avant de confier un document à l’un d’eux.

Où va réellement le fichier

Ouvrir depuis Drive change la provenance du fichier. Cela ne change pas ce que l’outil en fait ensuite, et ce sont deux questions distinctes.

Pour un outil qui s’exécute dans votre navigateur — fusionner, diviser, compresser, pivoter, réorganiser, ajouter des numéros de page, convertir des images — les octets vont de Google à l’onglet de votre navigateur, le travail s’y fait, et le résultat repart vers Drive depuis le même onglet. Le serveur de ce site n’est à aucun moment sur ce trajet. Comment fonctionnent les outils PDF de navigateur explique comment c’est possible.

Pour un outil qui s’exécute sur un serveur — l’OCR, les conversions Office, l’ajout ou la suppression d’un mot de passe — le navigateur envoie le fichier au serveur de traitement, exactement comme si vous aviez choisi ce fichier sur votre disque. Drive a changé la provenance du fichier, et rien d’autre. Chacun de ces outils indique sur sa propre page ce qui arrive au fichier et combien de temps il est conservé, et cette note ne change pas quand le fichier vient de Drive.

La lecture pratique : si un outil n’aurait pas envoyé votre fichier à un serveur auparavant, l’ouvrir depuis Drive ne l’y pousse pas ; et s’il l’aurait fait, Drive ne l’en empêche pas. Jugez l’outil, pas le bouton.

Vérifier et retirer un accès

Tout ce que vous avez accordé est listé en un seul endroit, et cela mérite un coup d’œil de temps en temps, indépendamment de ce site.

• Voir la liste. Dans votre compte Google, sous Sécurité, ouvrez la section des accès tiers. Toutes les applications auxquelles vous avez accordé quoi que ce soit s’y trouvent, avec ce qui leur a été accordé.
• Lire ce que dit chacune. « Voir et télécharger tous vos fichiers Google Drive » et « Voir, modifier, créer et supprimer uniquement les fichiers Google Drive spécifiques que vous utilisez avec cette application » sont les deux formulations à distinguer. La seconde est l’autorisation étroite.
• Retirer ce que vous n’utilisez plus. Retirer un accès est immédiat et ne touche pas à vos fichiers. Un site qui détenait l’autorisation étroite cesse simplement de pouvoir ouvrir les fichiers que vous lui aviez donnés.
• Retirer l’accès ici ne vous coûte rien. Retirez l’autorisation Drive et les boutons Drive cessent de fonctionner ; tous les outils fonctionnent encore avec des fichiers de votre appareil. Rien de ce que vous avez converti ou enregistré n’est affecté.

Deux habitudes valent plus que tout le reste. Lisez l’écran d’autorisation avant d’appuyer sur Continuer plutôt qu’après — c’est le seul moment où la demande exacte vous est mise sous les yeux. Et soyez plus attentif à l’étendue de l’autorisation qu’à la marque : un site connu qui demande tout votre Drive demande plus qu’un site inconnu qui demande un seul fichier.