Un négatif se raye. Un tirage jaunit, une diapositive vire au magenta. Chaque manipulation laisse une trace, et le temps fait le reste. Les photographes qui ont connu l’argentique le savent : conserver une image, c’est d’abord la protéger de l’usure.
Le fichier numérique a semblé régler la question. Un JPEG ouvert mille fois est identique au premier jour. Un TIFF copié d’un disque à l’autre ne perd pas une génération, comme le faisait un contretype. Un fichier RAW ne pâlit pas dans un tiroir. D’où une idée très répandue : un fichier numérique ne s’use pas, donc il n’a pas besoin d’être surveillé.
La première moitié de la phrase est vraie. La seconde ne l’est pas.
Ce qui ne s’use pas, et ce qui peut quand même changer
Ouvrir une photo ne l’abîme pas. La lire, l’afficher, la copier : rien de tout cela ne modifie le fichier d’origine. C’est une vraie différence avec le support argentique, et un vrai progrès.
Mais un fichier n’est pas une image. C’est une suite d’octets, rangée sur un support physique, et lue par des logiciels. L’image que vous voyez à l’écran n’existe que tant que ces octets restent exactement les mêmes. Or plusieurs choses peuvent les changer, sans que vous ayez touché au fichier :
- le support vieillit : un disque dur, un SSD, une carte mémoire ou un disque optique n’est pas éternel. Une zone qui faiblit peut rendre une partie d’un fichier illisible, ou la restituer fausse ;
- une copie se passe mal : un câble qui se débranche, un disque externe éjecté trop tôt, un transfert réseau interrompu peuvent laisser un fichier tronqué, qui porte pourtant le bon nom et la bonne date ;
- une synchronisation écrit par-dessus : un service de synchronisation ou un script de sauvegarde peut remplacer un bon fichier par une version incomplète ou abîmée, et propager l’erreur partout ;
- le matériel ou le logiciel défaille : une mémoire défectueuse, une coupure de courant pendant une écriture, un bogue d’application peuvent écrire de mauvais octets.
Aucun de ces incidents ne s’annonce. Le fichier garde son nom, sa taille parfois, son icône. Le Finder ne vous prévient pas. Selon l’endroit touché, une photo altérée peut s’ouvrir avec une bande grise, une moitié décalée, des couleurs fausses, ou ne plus s’ouvrir du tout. Elle peut aussi s’ouvrir normalement, avec un défaut que personne ne remarque avant longtemps.
C’est le vrai problème : le jour où l’on découvre l’altération est souvent bien plus tard que le jour où elle a eu lieu. Entre-temps, les sauvegardes ont pu recopier le fichier abîmé, et la dernière bonne version a pu disparaître avec la rotation des disques.
La fixité : le fichier est-il resté identique à lui-même ?
Les archivistes ont un mot pour cette question : la fixité. Un fichier « fixe » est un fichier qui n’a pas changé depuis un moment de référence, celui où on l’a reçu, importé ou archivé. Ce n’est pas une question de qualité d’image ni de format : c’est une question d’identité. Le fichier d’aujourd’hui est-il, octet pour octet, celui d’hier ?
Pour y répondre, on ne peut pas se contenter de regarder la photo. Une altération de quelques octets peut être invisible à l’œil, et regarder des milliers d’images une à une n’a rien de réaliste. Il faut une mesure objective, qui se calcule et se compare.
C’est le rôle de l’empreinte.
L’empreinte SHA-256, sans entrer dans la technique
Une empreinte est une courte suite de caractères calculée à partir de tout le contenu d’un fichier. On peut la voir comme une signature du contenu : deux fichiers identiques ont la même empreinte ; si un seul octet change, l’empreinte change complètement.
SHA-256 est la méthode de calcul la plus répandue pour cela. C’est une fonction publique et normalisée (la norme américaine FIPS 180-4), utilisée bien au-delà de la photographie. Elle produit une empreinte de 64 caractères, par exemple :
9f2c… suivi de soixante autres caractères.
Vous n’avez pas besoin de lire ni de retenir ces caractères. Ce qui compte, ce sont trois propriétés simples :
- elle se calcule toujours de la même façon : le même fichier donne toujours la même empreinte, sur n’importe quel ordinateur, aujourd’hui comme dans vingt ans ;
- elle réagit au moindre changement : un pixel modifié, un octet abîmé, une fin de fichier coupée, et l’empreinte n’a plus rien à voir ;
- elle ne dépend pas du nom ni de la date : renommer ou déplacer un fichier ne change pas son empreinte ; seul son contenu compte.
Le principe du contrôle de fixité en découle : on calcule l’empreinte d’un fichier une première fois, on la garde comme référence, puis on la recalcule plus tard et on compare. Identique : le fichier n’a pas bougé. Différente : il a changé.
Une précision importante : l’empreinte dit si un fichier a changé, pas pourquoi. Une retouche volontaire et une corruption donnent le même résultat : une empreinte différente. C’est ensuite à vous de savoir si vous avez modifié ce fichier exprès.
Vérifier, c’est relire en entier
Il y a une condition pour que le contrôle ait un sens : il faut relire le fichier en entier. Vérifier que le fichier existe, qu’il a la bonne taille ou la bonne date de modification ne suffit pas. Un fichier abîmé au milieu peut garder sa taille et sa date.
C’est pour cela qu’un vrai contrôle prend du temps sur une grosse photothèque : chaque octet de chaque fichier est lu. C’est aussi pour cela qu’il doit être régulier : un contrôle fait une fois, il y a trois ans, ne dit rien de l’état d’aujourd’hui.
Ce que fait Obscura Vault
Obscura Vault applique ces principes à une bibliothèque de photographies, sur Mac.
Une empreinte par fichier, prise à l’import. Quand vous importez un dossier, Vault ne copie ni ne déplace rien : il lit chaque fichier en entier et enregistre son empreinte SHA-256, avec son chemin et sa taille. Cette empreinte est la référence contre laquelle toute altération sera mesurée. Le détail est dans le chapitre Importer un dossier du guide.
Des audits de fixité, à la demande ou planifiés. Un audit relit tous les fichiers d’un projet ou de toute la bibliothèque, recalcule leurs empreintes et les compare aux références. Vous pouvez le lancer quand vous voulez, ou le planifier chaque semaine ou chaque mois ; l’audit planifié tourne quand Vault est ouvert. Un audit arrêté, ou qui n’a pas pu lire tous les fichiers, ne repousse pas l’échéance : Vault le retente au lieu de vous acheter une semaine de silence. Vérifier l’intégrité est gratuit.
Un journal qui ne s’efface pas. Chaque fichier relu ajoute une ligne au journal de fixité : la date, le résultat, l’empreinte attendue et celle observée. Un nouveau contrôle ne réécrit jamais un ancien : si un fichier cesse un jour d’être conforme, le moment où c’est arrivé reste connu.
Quatre états, jamais trois. C’est sans doute le point le plus important. À l’issue de son dernier contrôle, chaque fichier est dans l’un de ces quatre états :
| État | Ce que cela veut dire |
|---|---|
| Vérifié | Le fichier a été relu en entier ; son empreinte est celle de l’import. Il est intact à la date du contrôle. |
| Altéré | Le fichier a été relu en entier ; son empreinte a changé. Il a été modifié ou corrompu. |
| Non vérifiable | Le fichier n’a pas pu être lu : disque débranché, fichier déplacé ou supprimé, erreur de lecture. |
| Jamais vérifié | Aucun contrôle n’a encore été fait. |
Pourquoi insister sur « non vérifiable » ? Parce qu’un disque débranché ne prouve rien. Il ne prouve pas que les fichiers qu’il porte sont intacts : les compter comme bons masquerait exactement la situation où l’on perd des photos sans le savoir. Il ne prouve pas non plus qu’ils sont abîmés : les compter comme altérés ferait restaurer des fichiers qui vont bien, et noierait les vraies alertes. « Non vérifiable » n’est donc ni une bonne ni une mauvaise nouvelle. C’est une troisième réponse, que Vault garde à part, et qui demande une action simple : rebrancher le disque et relancer l’audit.
De la même façon, un fichier jamais contrôlé n’est jamais compté comme vérifié. Les quatre nombres de l’écran Intégrité font toujours le total de la bibliothèque : rien ne passe pour bon parce que personne ne l’a regardé. Le chapitre Comprendre les verdicts détaille chaque cas et ce qu’il faut en faire.
Et si un fichier est altéré ?
Détecter une altération n’a de valeur que si l’on peut y remédier. Le fichier altéré apparaît dans la liste Fichiers à examiner, avec son projet et la date du contrôle. S’il a été retouché volontairement, c’est un nouvel original, à réimporter comme tel. Sinon, il faut le remplacer par une copie saine : une archive vérifiée, une copie sur un autre disque, une copie hors site.
C’est là que la vérification rejoint la sauvegarde. Une copie de secours n’est utile que si l’on sait qu’elle est bonne, et si l’on s’aperçoit à temps qu’il faut s’en servir. C’est le sujet du prochain article.
En résumé
- Un fichier numérique ne s’use pas quand on l’ouvre, mais ses octets peuvent changer : support qui vieillit, copie interrompue, synchronisation, défaillance matérielle.
- Ces altérations sont silencieuses et souvent découvertes tard.
- La fixité est le fait qu’un fichier est resté identique à lui-même. On la contrôle avec une empreinte, dont SHA-256 est la forme la plus répandue.
- Vérifier, c’est relire chaque fichier en entier, régulièrement, et comparer à une référence.
- Un bon outil distingue « vérifié » de « non vérifiable » : ne pas avoir pu regarder n’est jamais une preuve.
Pour aller plus loin : la page Le contrôle de fixité, le chapitre Vérifier l’intégrité du guide, et le glossaire.
Article suivant de la série : Vous avez trois copies de vos photos. Mais savez-vous si elles sont encore intactes ?