Filigrane

Trois couches, trois métiers

Marquer une image, ce n'est pas poser un logo dans un coin. C'est empiler des protections qui ne se cassent pas de la même façon, pour qu'aucun geste unique ne les fasse toutes tomber.

Ce que ces trois couches ne font pas : rendre une image invulnérable. Voir Ce qui reste possible contre vous, plus bas — mieux vaut le lire avant de promettre quoi que ce soit à un client.

Premier passage

1. Enregistrez une phrase secrète dans votre coffre (Mon compte → coffre). Sans elle, aucune marque invisible n'est possible : c'est elle qui décide où les bits se cachent, et elle seule permet de les relire.
2. Déposez vos images dans l'atelier, réglez le filigrane visible en regardant l'aperçu.
3. Renseignez le destinataire et un numéro d'exemplaire différent par personne. C'est ce qui transforme la marque en traçage de fuite.
4. Traitez la sélection. Les fichiers produits sont écrits chez vous ; le registre, lui, monte sur le serveur.

Le filigrane visible

La marque invisible

L'image est découpée en blocs de 8 × 8 pixels, groupés en tuiles de 32 × 32 blocs (256 pixels de côté). Dans chaque tuile, la charge entière — identifiant, exemplaire, contrôle — est répartie selon un ordre que seule votre phrase secrète connaît. Chaque bit est écrit dans plusieurs dizaines de blocs, et la lecture les fait voter.

Deux conséquences pratiques :

• Un fragment suffit. Une seule tuile intacte porte toute la charge : un recadrage à 256 pixels de côté reste lisible. Le décalage introduit par la coupe est retrouvé à la lecture.
• La lecture ne demande aucun réglage. Ni la force employée, ni les zones ciblées, ni les dimensions d'origine. Elle mesure l'image et s'y adapte. Seule la phrase secrète est nécessaire.

Force

Trois crans, du plus discret au plus robuste. L'amplitude réelle est ensuite ajustée par l'outil : plus l'image est grande, plus il y a de votes par bit, et moins il faut appuyer. Sur une photo de 12 mégapixels, cela vaut sept décibels de qualité gagnés sans rien perdre en robustesse.

Où la poser

Par défaut, partout. Sur une illustration à grands aplats clairs, l'option « zones sombres » évite que la trame se devine. Les blocs épargnés ne portent alors rien — ils se signalent d'eux-mêmes à la lecture, qui les ignore. Comptez au moins 8 % de surface ciblée : en dessous, l'outil vous prévient que la marque n'a pas pris.

Vérifier une image retrouvée

Déposez-la dans l'onglet Vérifier. L'outil lit la marque, calcule l'empreinte, interroge votre registre, et affiche les métadonnées du fichier.

• Recherche approfondie : à cocher si l'image a pu être recadrée. Elle essaie les soixante-quatre décalages de grille possibles — bien plus lent, mais c'est ce qui rattrape une coupe qui ne tombe pas sur un multiple de huit pixels.
• Deuxième chance automatique : si la marque reste muette mais que l'empreinte désigne une entrée de votre registre, l'outil connaît les dimensions d'origine, remet l'image à cette échelle et relit. C'est ce qui rattrape les images redimensionnées par une plateforme.

Le registre

La marque transporte un numéro, pas un nom. Le registre est la table qui relie ce numéro à une œuvre, un auteur, un destinataire et une date. Sans lui, une marque ne désigne personne.

Il appartient à votre compte : sauvegardé avec le serveur, consultable de n'importe où, exportable en JSON ou en CSV. Exportez-le de temps en temps — une sauvegarde chez vous ne coûte rien et vaut cher le jour où elle sert.

Comptes, coffre et clé de récupération

Votre mot de passe ne quitte jamais votre navigateur. Il y est transformé en une clé, dont on dérive deux choses : un vérificateur — la seule valeur envoyée au serveur, qui la hache encore une fois — et la clé qui chiffre votre coffre de phrases secrètes. Le serveur garde ce coffre sans pouvoir l'ouvrir.

C'est ce qui rend la clé de récupération nécessaire. Elle vous a été remise une seule fois, à la création du compte :

• changer de mot de passe en étant connecté : le coffre est rechiffré au passage, rien n'est perdu, la clé de récupération n'est pas nécessaire ;
• réinitialiser un mot de passe oublié : le coffre ne peut être repris que si vous fournissez cette clé. Sans elle, le compte reste utilisable mais le coffre repart à zéro — et les images marquées avec les anciennes phrases deviennent illisibles.

Activez le second facteur si votre registre sert de preuve : il ferme le seul chemin qui reste à qui aurait deviné votre mot de passe.

Ce qui reste possible contre vous

Aucun filigrane n'est indélébile, et il vaut mieux le savoir avant de s'engager.

• Le visible s'efface par inpainting automatique. Les outils publics le font proprement en un clic sur un motif faible ; le relief gravé et une densité correcte rendent le résultat visiblement dégradé, sans l'empêcher.
• L'invisible se détruit par une régénération complète de l'image (diffusion), un rééchantillonnage violent, ou une recompression très agressive. C'est démontré, publié, et ça ne se répare pas.
• Les métadonnées se retirent en une commande. Elles ne sont là que pour ce qu'elles valent devant un juge ou une plateforme : une revendication explicite, dont le retrait est un acte volontaire.
• La capture d'écran conserve la marque invisible si la résolution est proche, la perd si l'image est réduite de moitié.

Ce qui marche, c'est la défense en profondeur : chaque couche coûte un effort différent, et il faut les casser toutes. Et le registre, lui, reste — c'est souvent lui qui tranche.

Formats et limites

Revenir à l'atelier