Comment partager un relevé bancaire en toute sécurité (2026) : caviarder, protéger, envoyer

Une agence immobilière vous écrit : « Merci d’envoyer les trois derniers mois de relevés bancaires. » Votre conseiller de prêt vous demande la même chose. Le comptable la redemande à la période fiscale. Toutes les quelques semaines, quelqu’un de légitime, ou prétendant l’être, réclame le document le plus sensible de votre vie numérique. Vous hésitez. Et vous avez raison.

Ce guide est un mode d’emploi pratique pour partager un relevé bancaire sans faciliter une fraude à votre encontre. Il explique ce qu’une personne malveillante peut réellement en faire, propose trois niveaux de sécurité pour adapter vos efforts au contexte, montre comment masquer correctement selon l’usage, comment télécharger un PDF propre depuis les grandes banques, ce que fait vraiment la protection par mot de passe, comment repérer une fausse demande, et que faire si vous avez déjà envoyé un relevé non masqué à la mauvaise personne.

Ce qu’un individu malveillant peut réellement faire avec votre relevé bancaire

Le risque n’est pas abstrait. Des choses bien précises se produisent lorsqu’un relevé bancaire tombe entre de mauvaises mains.

Prise de contrôle du compte par ingénierie sociale. Votre relevé affiche le nom de la banque, le nom du titulaire du compte, les transactions récentes et des numéros de compte partiels. Avec cela, un attaquant peut appeler la banque en se faisant passer pour vous, répondre aux questions de sécurité (« pouvez-vous confirmer une transaction récente » en est une classique), et demander une réinitialisation de mot de passe ou une nouvelle carte.

Fraude à l’identité synthétique. De véritables coordonnées bancaires associées à un nom légèrement modifié et à une fausse adresse servent à ouvrir de nouvelles lignes de crédit qui paraissent crédibles aux prêteurs. Le titulaire d’origine du compte découvre la fraude des mois plus tard, lorsque les procédures de recouvrement commencent.

Hameçonnage ciblé. Connaître votre banque, votre salaire et vos habitudes de dépenses permet aux attaquants de rédiger des e-mails d’hameçonnage qui ressemblent à de vraies communications bancaires. « Nous avons constaté un débit inhabituel de $847.23 chez [un commerçant que vous avez réellement utilisé la semaine dernière]. Cliquez ici pour vérifier. » Ces messages obtiennent des taux de réussite bien plus élevés que l’hameçonnage générique.

Fraude au prélèvement automatique. Dans certaines juridictions, un numéro de compte et un code guichet (Royaume-Uni) ou un numéro d’acheminement (États-Unis) suffisent à mettre en place un prélèvement automatique. De nombreux petits commerçants ne vérifient pas le titulaire du compte. Le temps que vous le remarquiez, l’argent a disparu et la récupération dépend de la bonne volonté de la banque.

Fraude au prêt et à la location. Votre nom, votre adresse, votre employeur et votre salaire figurant sur un relevé non caviardé suffisent à un fraudeur pour demander un crédit à la consommation ou une location de courte durée à votre nom. Le temps que le prêteur ou le propriétaire vous réclame le paiement, l’escroc a disparu et c’est vous qui subissez l’impact sur votre crédit.

Le flux de sécurité à trois niveaux

Tout partage ne nécessite pas une sécurité maximale. Adaptez vos efforts au contexte. Voici trois niveaux, du plus léger au plus paranoïaque.

Niveau 1 : minimum viable (faible enjeu, de confiance, réglementé)

À réserver à votre comptable de longue date, au portail officiel d’un organisme de crédit réglementé ou à une administration que vous avez contactée. Téléchargez le PDF original depuis votre banque, masquez les parties dont ils n’ont explicitement pas besoin (numéro de compte complet, transactions sans rapport), puis envoyez-le par e-mail ou déposez-le sur leur portail. Passez l’étape de protection par mot de passe. Le destinataire est tenu par des codes professionnels et le risque d’interception est faible.

Niveau 2 : recommandé (par défaut pour la plupart des partages)

Utilisez ceci pour les agences de location, les courtiers en prêt immobilier, l’intégration par un employeur, les demandes d’indemnisation et la plupart des contextes professionnels. Téléchargez le PDF original. Caviardez au minimum le numéro de compte complet, les numéros de carte et les lignes de dépenses sans rapport. Protéger par mot de passe avec un mot de passe fort. Envoyez le fichier par e-mail. Transmettez le mot de passe par un autre canal : un appel téléphonique, un SMS, WhatsApp ou en personne. Demandez par écrit au destinataire de confirmer la réception et de supprimer la copie une fois la démarche terminée.

Niveau 3 : paranoïaque (forts enjeux ou destinataire non fiable)

Utilisez cette méthode pour les propriétaires que vous ne connaissez pas (surtout les locations entre particuliers), les interlocuteurs internationaux, toute personne rencontrée uniquement en ligne, et chaque fois que votre instinct vous a poussé à hésiter. Vérifiez le destinataire par un canal indépendant (appelez le standard principal de l’agence, pas le numéro figurant dans la signature de l’e-mail). Caviardez de manière radicale, en ne laissant que le minimum de justificatif de fonds. Utilisez un mot de passe solide d’au moins 16 caractères. Transmettez le mot de passe lors d’un appel téléphonique vers un numéro que vous possédiez déjà, pas celui indiqué dans l’e-mail. Programmez un rappel dans votre agenda 30 jours après l’envoi pour vérifier la suppression. Demandez-vous si la demande est vraiment nécessaire, ou si une lettre écrite de votre banque confirmant le solde ne suffirait pas.

Liste de contrôle du caviardage selon le cas d’usage

Chaque destinataire a des besoins différents. En partager trop est l’erreur la plus fréquente. Voici ce dont chaque destinataire type a réellement besoin et ce que vous devriez retirer.

Agence de location ou propriétaire (dossier de location)

Ce dont ils ont besoin : la confirmation que votre salaire est bien versé, que vous avez un flux d’entrées stable, et un solde de fin de période qui montre que vous pouvez couvrir le loyer. À conserver : votre nom, le nom de la banque, les dates de la période du relevé, les lignes de versement du salaire et le solde de clôture. À masquer : le numéro de compte complet et le code guichet/numéro d’acheminement (laissez les quatre derniers chiffres), toute transaction sans rapport avec vos revenus (courses, restaurants, abonnements, virements à des amis), et toute référence d’agrégation de comptes.

Courtier en prêt immobilier ou agent de crédit

Ce dont ils ont besoin : un tableau complet de vos revenus et la preuve de toute dette existante qu’ils prendront en compte dans votre demande. À conserver : les virements de salaire, les remboursements de dettes récurrents (autres prêts, cartes de crédit) et le solde de clôture. À masquer : le numéro de compte complet (les quatre derniers chiffres suffisent), les dépenses personnelles sans lien avec l’endettement et les coordonnées du titulaire du compte. Certains prêteurs demandent expressément des relevés non masqués pour se conformer aux règles de lutte contre le blanchiment, auquel cas le niveau 1 (aucun masquage au-delà du numéro de compte) avec leur portail sécurisé est la bonne approche.

Comptable ou conseiller fiscal

Ils ont besoin de : transactions pertinentes sur le plan fiscal (revenus professionnels, dépenses déductibles, versements de dividendes, intérêts perçus). À conserver : tout ce qui a une incidence fiscale. À caviarder : le numéro de compte complet, ainsi que les dépenses personnelles si elles ne sont pas déductibles. Pour la plupart des déclarations personnelles, la version caviardée est identique à ce que voit un courtier en crédit immobilier, à l’exception des catégories fiscales signalées.

Agent des visas ou de l’immigration

Il leur faut : une preuve de fonds couvrant la durée du séjour ou l’exigence financière de la catégorie de visa. À conserver : le solde de fin de période, les tendances de la provenance des fonds (salaire, entrées liées à l’activité). À caviarder : les catégories de dépenses détaillées, les transactions sans lien avec la vérification des fonds. Le numéro de compte complet peut généralement être caviardé jusqu’aux quatre derniers chiffres, mais vérifiez les consignes spécifiques de l’ambassade ou du consulat pour votre catégorie de visa.

Intégration par l’employeur (mise en place de la paie)

Pour la mise en place de la paie, on a généralement besoin d’un chèque annulé ou d’une attestation bancaire, pas d’un relevé complet. Objectez si les RH réclament un relevé dans ce cas. Partager tout votre historique de transactions avec un employeur est excessif pour mettre en place un dépôt de salaire. S’ils insistent, caviardez tout sauf le nom, le nom de la banque, le nom du titulaire du compte et les coordonnées de compte nécessaires au versement.

Vrai caviardage : étape par étape

Ouvrez le PDF téléchargé dans Masquage iHatePDF. L’outil supprime le contenu sous-jacent du document, il ne se contente pas de le recouvrir d’un rectangle noir. C’est important, car les rectangles de masquage peuvent être contournés en sélectionnant et en copiant le texte situé en dessous, ou en lançant une OCR. Un vrai caviardage, non.

1. Importez le PDF du relevé téléchargé.
2. Tracez un rectangle sur chaque information à supprimer. Soyez rigoureux : numéro de compte, numéros de carte, adresse complète si vous ne voulez pas la partager, et toute ligne que le destinataire ne doit pas voir.
3. Utilisez la fonction de recherche par motif pour les e-mails, les numéros de téléphone et les identifiants récurrents, si elle est disponible.
4. Vérifiez chaque page. Les relevés reprennent souvent les coordonnées du compte dans les en-têtes ou les pieds de page de chaque page.
5. Appliquez les caviardages. Confirmez. Téléchargez le PDF caviardé.
6. Ouvrez le PDF téléchargé et essayez de sélectionner le texte caviardé. Si vous parvenez à surligner ou à copier le texte d’origine, le caviardage n’a pas fonctionné. Recommencez.

Consultez notre guide complet du caviardage pour une explication plus détaillée et les cas particuliers (relevés numérisés, comptes multidevises, fichiers volumineux).

Protection par mot de passe : comment bien s’y prendre

Le chiffrement d’un PDF par mot de passe avec des algorithmes modernes (AES-256) est réellement solide. Le maillon faible, c’est le mot de passe lui-même. Les outils pour casser des mots de passe faibles sont gratuits et rapides. Les outils pour casser des mots de passe forts mettraient plus de temps que la durée de vie de l’univers.

Utilisez iHatePDF Protéger ou tout outil doté du chiffrement AES-256. Un mot de passe fort suit trois règles :

• Au moins 12 caractères, de préférence 16 ou plus pour les partages à fort enjeu
• Mélange de majuscules, de minuscules, de chiffres et de symboles
• Pas un mot de dictionnaire, pas une date, pas un nom, pas une phrase tirée d’une chanson

Une bonne astuce : prenez une expression de quatre mots que vous seul imagineriez, mettez les premières lettres en majuscule et parsemez de chiffres et de symboles. Exemple de schéma : BlueParrot$Skylight2026 (n’utilisez pas celui-ci).

Transmettez le mot de passe par un canal différent de celui du fichier. Si le fichier part par e-mail, le mot de passe part par SMS ou par appel téléphonique. La menace contre laquelle on se protège est l’interception soit de l’e-mail, soit du canal de messagerie, mais pas des deux à la fois. Un partage par un seul canal (le mot de passe dans le même e-mail que la pièce jointe) annule totalement le chiffrement.

Comment l’envoyer

Trois méthodes d’envoi, classées selon leur niveau de sécurité habituel :

Le portail sécurisé du destinataire (idéal). Les banques, les prêteurs réglementés, les administrations publiques et de nombreux cabinets professionnels disposent désormais de portails de documents. Le fichier est téléversé chiffré vers leur environnement contrôlé, le destinataire le récupère depuis cet emplacement, et la seule copie échappant à votre contrôle se trouve sur leur infrastructure. Utilisez cette méthode lorsqu’elle est disponible.

E-mail avec pièce jointe protégée par mot de passe (bien). Le processus professionnel de référence. Le fichier est chiffré au repos dans votre dossier des messages envoyés et dans la boîte de réception du destinataire. Le transport des e-mails entre les grands fournisseurs est chiffré en TLS pendant le transit. Le mot de passe circule séparément. Acceptable dans presque tous les contextes réels.

Lien de partage à durée limitée (idéal pour une remise unique). Certains outils PDF, dont iHatePDF, proposent une fonction de « partage par lien » où le destinataire reçoit une URL de téléchargement au lieu d’une pièce jointe. Les liens iHatePDF expirent automatiquement au bout de 35 minutes, de sorte que le fichier ne reste pas sur un serveur pendant des jours ou des semaines comme le font les liens hébergés à longue durée de vie sur certains autres services. La fenêtre de 30 minutes est assez longue pour que le destinataire télécharge le fichier une fois, et assez courte pour qu’un lien intercepté devienne rapidement inutilisable. Pratique lorsque les limites de taille des pièces jointes posent problème, ou lorsque vous souhaitez que le destinataire confirme la réception en agissant sur le lien en temps réel. Pour des partages non sensibles vers des destinataires connus, cela convient parfaitement. Pour des partages à fort enjeu, tenez-vous-en à la méthode de l’e-mail associé à un mot de passe transmis par un canal distinct décrite ci-dessus, puisque vous en maîtrisez la durée de vie.

Signaux d’alerte : comment repérer une fausse demande de relevé

Les organisations légitimes utilisent rarement ces procédés. Si vous les repérez, prenez le temps et vérifiez via un canal de confiance.

• Mise en scène de l’urgence. « Il nous faut ceci dans l’heure, sinon votre demande est annulée. » Les vrais processus ont de vraies échéances, mais les processus légitimes se comptent rarement en créneaux d’une heure pour de la documentation courante.
• Coordonnées de l’expéditeur incohérentes. Le nom affiché indique « HSBC Mortgage Team » mais l’adresse e-mail est hsbc.support@gmail.com ou un domaine mal orthographié (hsbc-uk-support.com). Les vraies institutions envoient depuis leur domaine principal.
• Demande d’un relevé complet et non expurgé, sans aucune explication du motif. Les démarches légitimes expliquent ce dont elles ont besoin et pourquoi. Une demande générique de « votre relevé bancaire complet » sans périmètre précis est un signal d’alerte.
• Demander le mot de passe dans le même e-mail. Aucun destinataire légitime ne demande les deux. Si quelqu’un le fait, c’est qu’il est négligent en matière de sécurité, ou qu’il espère que vous l’êtes.
• « Nous vous enverrons un code par SMS pour confirmer. » Les codes de vérification demandés en cours de procédure sont le moyen par lequel se produisent les piratages de compte. Les processus légitimes vérifient l’identité au début, pas par un SMS en cours de route.
• Pression pour ne pas impliquer de tiers. « N’appelez pas notre bureau, répondez simplement à ce message. » Les organisations légitimes vous encouragent à les vérifier via leurs canaux officiels.
• Un paiement pour débloquer une démarche. « Payez de petits frais administratifs pour continuer. » Un propriétaire, une banque ou un organisme public qui réclame un paiement pour commencer à traiter un relevé qu’il a déjà demandé est une arnaque.

Si vous avez déjà envoyé un relevé non masqué à la mauvaise personne

Les erreurs arrivent. La rapidité de réaction réduit les dégâts. Parcourez la liste suivante dans l’ordre. La plupart de ces actions peuvent être réalisées dans l’heure qui suit.

1. Appelez le service anti-fraude de votre banque. Le numéro figure au dos de votre carte. Indiquez-leur que vous avez peut-être divulgué des données de relevé et demandez-leur de placer le compte sous surveillance des activités inhabituelles pendant les 90 prochains jours.
2. Changez le mot de passe de votre banque en ligne et activez l’authentification multifacteur si ce n’est pas déjà fait.
3. Placez une alerte à la fraude auprès des organismes de crédit. Aux États-Unis : Experian, Equifax, TransUnion. Au Royaume-Uni : Experian, Equifax, TransUnion UK. Dans l’UE : les équivalents propres à chaque pays. Une alerte à la fraude est gratuite, dure un an, et oblige les prêteurs à vérifier votre identité avant d’ouvrir un nouveau crédit.
4. Si l’exposition des données a été importante (numéro de compte complet plus données personnelles), envisagez un gel du crédit plutôt qu’une simple alerte. Un gel bloque totalement toute nouvelle demande de crédit jusqu’à ce que vous le leviez.
5. Surveillez votre boîte de réception pour repérer les e-mails de réinitialisation de mot de passe que vous n’avez pas demandés. Ce sont un signe précoce de tentatives de prise de contrôle de compte.
6. Vérifiez vos relevés bancaires tous les jours pendant les deux prochaines semaines, puis chaque semaine pendant les deux mois suivants. Signalez immédiatement toute transaction inhabituelle.
7. Si le destinataire était un usurpateur se faisant passer pour un interlocuteur légitime, signalez-le à l’autorité chargée de la cybercriminalité dans votre pays : IC3 (États-Unis), Action Fraud (Royaume-Uni), l’unité cybercriminalité de la police locale (UE). Conservez toute la correspondance comme preuve.
8. Prévenez la partie légitime à qui vous pensiez envoyer le document. D’autres de ses clients sont peut-être visés par la même arnaque, et votre signalement l’aide à les alerter.

Vos droits après le partage : RGPD, CCPA, UK DPA

Vous conservez des droits sur vos données après les avoir partagées. Le régime juridique dépend de votre lieu de résidence et du lieu d’établissement du destinataire.

UE (RGPD) et Royaume-Uni (UK DPA). Vous pouvez déposer une demande d’accès aux données personnelles (DSAR) pour connaître les données que le destinataire détient, et demander leur effacement une fois que la base légale du traitement disparaît. Par exemple, dès qu’une demande de location est refusée ou que le bail prend fin, l’agence immobilière n’a plus vraiment de motif de conserver votre relevé complet. Envoyez la demande par écrit, accordez-leur 30 jours pour répondre, et saisissez l’Information Commissioner’s Office (Royaume-Uni) ou l’autorité de protection des données compétente (UE) s’ils ne le font pas.

Californie (CCPA / CPRA). Vous pouvez demander à savoir quelles données une entreprise a collectées sur vous, en demander la suppression et refuser la vente de vos informations personnelles. Envoyez la demande via la méthode désignée par l’entreprise (souvent un formulaire web sur sa page de confidentialité). Le délai de réponse est de 45 jours, prolongeable à 90.

Autres États américains. La Virginie, le Colorado, le Connecticut, l’Utah et une liste croissante d’États disposent de lois similaires sur la vie privée des consommateurs en 2026. Les mécanismes sont comparables. Renseignez-vous auprès du bureau du procureur général de votre État pour connaître la procédure précise.

Questions fréquentes