Les points jaunes

Chaque page sortie d'une imprimante couleur porte, en jaune pâle, le numéro de série de la machine et la date-heure d'impression. Dispositif demandé par le Secret Service américain au milieu des années 1990, jamais signalé à l'utilisateur, jamais encadré par la loi. L'affaire Reality Winner, en 2017, a figé la réputation du procédé : les points jaunes attrapent les lanceurs d'alerte avant les faussaires.

Le 3 juin 2017, le FBI frappe à la porte d'une maison d'Augusta, en Géorgie. À l'intérieur, Reality Leigh Winner, vingt-cinq ans, ancienne analyste linguiste de l'US Air Force rattachée à la NSA, formée au pachto, au farsi et au dari, végane, instructrice de yoga, propriétaire d'un chien baptisé Mina. Vingt-cinq jours plus tôt, le 9 mai, elle a imprimé depuis une imprimante interne de la NSA un rapport classifié de cinq pages sur l'ingérence russe dans l'élection présidentielle américaine de 2016. Elle l'a dissimulé dans ses collants, elle est sortie de la base de Fort Gordon, elle a glissé l'enveloppe anonyme dans une boîte aux lettres à destination de The Intercept. Elle pensait avoir été prudente.

Le 5 juin, The Intercept publie un article accompagné d'un scan intégral du document, pour en authentifier la source. Les heures qui suivent sont fatales. L'affidavit du FBI, descellé après l'arrestation, énumère les éléments qui ont permis l'identification de Winner : les pliures caractéristiques du document, qui attestent d'un acheminement physique plié en quatre, le croisement des logs d'accès au rapport (seules six personnes l'avaient consulté), et les logs de communication avec The Intercept depuis son ordinateur personnel. L'affidavit lui-même ne mentionne pas le Machine Identification Code. Mais dès la publication du scan, la communauté sécurité reconnaît les points jaunes d'une imprimante Xerox : Robert Graham, d'Errata Security, décode le motif en quelques heures et expose publiquement le numéro de série et l'horodatage. Le symbole est posé : ce document était signé, pixel par pixel, par l'imprimante qui l'a produit.

Reality Winner plaide coupable. Soixante-trois mois de prison, soit la peine la plus lourde alors jamais prononcée aux États-Unis contre un lanceur d'alerte sous l'Espionage Act. Elle est libérée en 2021.

Son cas est devenu, dans toutes les formations de sécurité opérationnelle, l'exemple canonique de ce que tout journaliste, tout avocat, tout dissident, tout citoyen soucieux de sa trace imprimée devrait savoir : l'imprimante couleur vous dénonce. Elle le fait depuis trente ans. Elle n'a jamais demandé votre permission. Elle ne vous le dit pas.

Ce que c'est

Le dispositif s'appelle officiellement Machine Identification Code, abrégé MIC. On parle aussi de yellow dot code, de printer steganography, de tracking dots, ou, dans les cercles OPSEC francophones, de micro-points jaunes.

C'est un motif de petits points, imprimés en encre jaune pâle, de l'ordre d'un dixième de millimètre, répartis en grille régulière sur toute la surface de chaque page sortant d'une imprimante laser couleur. L'espacement varie selon les modèles mais oscille entre deux et cinq millimètres. La teinte est volontairement choisie proche du blanc du papier : à l'oeil nu, sous un éclairage normal, les points sont invisibles. À la loupe de bijoutier, ou sous lumière UV sur fond blanc, ils apparaissent nettement.

Ces points encodent des métadonnées relatives à l'impression. Dans le cas documenté le plus connu, celui des Xerox DocuColor, le motif forme une grille de huit lignes sur quinze colonnes. Chaque colonne encode un nibble, soit quatre bits. L'ensemble des colonnes donne, dans l'ordre : le numéro de série de l'imprimante, suivi de la date et l'heure de l'impression, à la minute près, le tout accompagné de quelques bits de parité. D'autres constructeurs ont adopté des formats proches : la quantité d'information encodée varie, mais la logique reste la même.

À retenir. Les points jaunes identifient la machine, pas directement la personne. Mais associés aux factures d'achat, aux logs réseau, aux horaires de présence, ils permettent de remonter à la main qui a appuyé sur le bouton d'impression.

Depuis quand

Le dispositif remonte au milieu des années 1990, à la demande du United States Secret Service, qui porte la double mission de protéger le président américain et de lutter contre la contrefaçon de la monnaie fiduciaire. Les premiers échanges connus entre le Secret Service et les constructeurs d'imprimantes couleur datent de la période 1991-1994, qui coïncide avec la démocratisation des imprimantes laser et jet d'encre couleur grand public et avec la crainte perceptible d'une vague de faux billets amateurs.

Aucune loi américaine, canadienne, européenne ou japonaise n'a jamais imposé publiquement ce traceur. Les accords ont été signés constructeur par constructeur, sous entente de confidentialité. Les premiers modèles concernés sont déployés dès 1994-1996. Autour de l'an 2000, la totalité des grandes marques d'imprimantes laser couleur grand public en implémente une variante.

Le dispositif reste totalement inconnu du public pendant une décennie. En 2004, un journaliste de PCWorld, Jason Tuohey, obtient une confirmation implicite auprès de Xerox et de HP qu'un code de traçage existe, sans en recevoir la spécification. En 2005, l'Electronic Frontier Foundation (EFF) à San Francisco monte un projet de rétro-ingénierie. L'équipe, menée par Seth Schoen, achète plusieurs dizaines d'imprimantes différentes, imprime une batterie standardisée de pages, scanne, compare les motifs. Elle publie en octobre 2005 le décodage complet du format Xerox DocuColor. L'EFF demande simultanément aux constructeurs de documenter leurs variantes. Aucun ne répond.

Depuis 2005, l'EFF maintient une liste des modèles concernés, régulièrement mise à jour jusqu'en 2017, puis abandonnée faute de ressources. En 2026, la liste est périmée mais reste utile pour comprendre les familles. Aucun constructeur n'a jamais annoncé publiquement avoir retiré le MIC. Aucun n'a jamais confirmé officiellement l'intégrer non plus. Le silence demeure la position par défaut.

Qui le fait

À partir des travaux de l'EFF, des analyses communautaires (notamment celles du Chaos Computer Club allemand) et des observations publiques :

Les machines qui, en 2026, n'impriment généralement pas de MIC :

• Les imprimantes monochromes (laser noir, jet d'encre noir seul). Le MIC s'appuie sur l'encre jaune : sans jaune, pas de MIC. Attention : certaines imprimantes dites mono dans un bureau sont en réalité des multifonctions couleur configurées en noir et blanc. Le MIC reste alors imprimé.
• Les imprimantes matricielles à aiguilles sur ruban, encore utilisées dans certains contextes administratifs et comptables.
• Certaines imprimantes grand public antérieures à l'an 2000, en amont de la généralisation des accords Secret Service.
• Les imprimantes thermiques (tickets de caisse, étiquettes), qui n'emploient qu'une seule encre.
• Les imprimantes 3D, hors périmètre, mais la question revient régulièrement : aucun équivalent documenté à ce jour.

Comment les voir

Détection pratique, à mener chez soi avec du matériel courant :

1. Imprimer une page presque vide (quelques mots en haut, le reste blanc) sur la machine à tester.
2. Zoomer sur une zone dépourvue d'impression visible, de préférence loin du texte, au centre ou dans les marges.
3. Loupe de bijoutier, 10x au minimum, 30x idéal.
4. Éclairage : lampe UV portable, ou lampe de bureau en incidence rasante.
5. Les points apparaissent comme une grille régulière de petits points jaunes à peine saturés, à distance constante.

Pour une documentation photographique :

• Microscope USB à environ 400x, posé sur la page.
• Scanner haute résolution (1200 dpi ou plus) en mode couleur. Agrandir ensuite dans un éditeur, séparer le canal jaune, augmenter le contraste. Les points ressortent sans ambiguïté.
• Smartphone en mode macro, avec filtre UV optionnel. Moins propre, mais rapide.

Les archivistes de l'EFF et du Chaos Computer Club ont documenté cette procédure, exemples visuels à l'appui, dans leurs ressources publiques.

Décoder un motif, à titre d'exercice

Je ne détaille pas ici le décodage complet, qui relève du reverse engineering et déborde du format d'un article. Pour les lecteurs curieux, l'EFF a publié en 2005 un parser Python qui prend en entrée une image scannée et renvoie le numéro de série et la date. Le code et la documentation restent accessibles via eff.org/pages/list-printers-which-do-or-do-not-display-tracking-dots (la Wayback Machine en conserve plusieurs copies si l'URL vient à bouger).

Pour le format Xerox DocuColor, la logique est la suivante :

• Grille huit par quinze. Chaque colonne est un nibble (quatre bits).
• Colonnes 1 et 15 : rangées de parité verticales.
• Rangée 1 : parité horizontale.
• Colonnes 2 à 7 : date et heure (année sur un nibble, mois, jour, heure, minute).
• Colonnes 8 à 14 : numéro de série de la machine.

D'autres constructeurs modulent ce format : moins de métadonnées encodées, numéro de série découpé différemment, parité remplacée par un code correcteur. La structure reste néanmoins reconnaissable. En 2026, un chercheur suffisamment motivé peut décoder la plupart des imprimantes couleur grand public en quelques jours de travail.

Comment ne pas être vu

Si l'on a une raison légitime de vouloir imprimer sans être traçable (lanceur d'alerte, journaliste protégeant une source, dissident politique, avocat sur une affaire sensible), voici les contre-mesures connues, par ordre croissant de robustesse.

Niveau 1. Impression monochrome

Imprimer sur une imprimante laser noir et blanc, dépourvue de cartouche jaune : pas de MIC. Vérifier qu'il s'agit bien d'une vraie monochrome, et non d'une multifonction couleur en mode noir et blanc. Un modèle d'entrée de gamme (Brother HL-1210W, HP LaserJet M110w, Canon i-SENSYS LBP6030) convient. Vérifier au scanner, après impression, qu'aucun pixel jaune ne figure sur la feuille.

Niveau 2. Imprimante publique anonyme

Reprographie dans un centre urbain, paiement en espèces, sans identification. Bibliothèque municipale qui prête ses imprimantes aux usagers. Hackerspace sans badge nominatif. La trace vers soi est brisée, mais la machine demeure traçable : si l'impression est signalée aux autorités, les points jaunes identifient la machine, et de là, les logs du commerce ou de la bibliothèque autorisent une enquête ciblée. Si aucune autre trace n'a été laissée (pas de carte de fidélité, pas de vidéo exploitable, pas de carte bancaire), la protection est raisonnable.

Niveau 3. Imprimante ancienne hors réseau

Imprimante matricielle d'avant l'an 2000, acquise en brocante, utilisée en local sans réseau. Pas de MIC, pas de télémétrie, bruit infernal, polices moches, impression lente. Mais la trace est quasi nulle. Pour le document court et crucial, cette option reste disponible.

Niveau 4. Contre-impression

Imprimer en couleur sur une machine classique, puis scanner la page imprimée et la ré-imprimer sur monochrome. La seconde impression n'a plus de MIC d'origine, et l'ancien motif a été dégradé par le scan. Technique coûteuse en qualité (la page imprimée perd en netteté) et imparfaite (le MIC du scan reste potentiellement visible, et d'autres marques physiques peuvent demeurer).

Niveau 5. Pas d'impression du tout

La seule contre-mesure véritablement robuste : ne pas imprimer. Pour un document numérique, un PDF chiffré partagé via OnionShare, ou un support physique (clé USB chiffrée) remis en main propre, laissent une trace considérablement moindre que n'importe quelle impression.

C'est ce que recommandent, en pratique, l'EFF, Reporters sans frontières et la Freedom of the Press Foundation à toute source journalistique.

Reality Winner, en détail

Le cas Winner mérite un développement, parce qu'il concentre toutes les erreurs OPSEC qu'une source bien intentionnée mais mal préparée peut commettre, et parce qu'il a installé le MIC dans l'imaginaire collectif comme instrument de contre-espionnage.

Les erreurs de Winner

• Avoir imprimé le document, alors que son contenu numérique pouvait être transmis par voie électronique anonymisée.
• Avoir imprimé depuis une machine interne de la NSA, dont les logs d'accès étaient évidemment traçables à Fort Gordon.
• Avoir transmis le document scanné à The Intercept, qui a publié le scan sans altération.
• Avoir contacté The Intercept depuis son ordinateur personnel, sur son réseau résidentiel, créant un lien numérique parallèle directement attribuable.
• Avoir utilisé son badge NSA pour entrer et sortir, créant un journal horodaté qui s'est révélé fatal au croisement avec les logs d'accès au document.

Les erreurs de The Intercept

Pas moins graves. Le média a publié un scan direct du document, sans nettoyer les marques d'impression (ni points jaunes, ni pliures physiques). Scanner le document, le redessiner en vectoriel, ou simplement l'imprimer puis le re-scanner en monochrome aurait suffi à effacer la signature. The Intercept a reconnu publiquement cette défaillance après l'arrestation de Winner et a renforcé son processus interne de nettoyage des documents sensibles. L'affaire a fait jurisprudence dans les rédactions anglophones et francophones spécialisées.

Ce qu'elle a dit

I knew it was secret. But I also knew that I was lied to, and I wanted the American public to know the truth.

Depuis sa libération en 2021, Reality Winner s'est exprimée publiquement sur son parcours : documentaires, entretiens, podcasts. Elle milite aujourd'hui pour une réforme de l'Espionage Act, qui ne distingue pas entre espionnage et lancement d'alerte, et pour la protection effective des sources à l'ère numérique.

Les lanceurs d'alerte avant Winner

Les affaires Chelsea Manning (2010), Edward Snowden (2013), Daniel Hale (2019) ont impliqué des documents imprimés, mais la trace y a chaque fois été établie par d'autres canaux : logs de téléchargement internes, métadonnées réseau, enquête classique. Le MIC y est resté secondaire, par chance ou par discipline opérationnelle. Snowden en particulier, nourri de mois de lecture de Bruce Schneier et de la littérature OPSEC, a utilisé des imprimantes privées à Hawaï et détruit les originaux. L'affaire Winner demeure atypique par la primauté symbolique prise par les points jaunes dans le récit public, même si l'affidavit fédéral s'appuyait avant tout sur d'autres indices.

Et les billets ? EURion et CDS

Le MIC trace qui imprime. Un autre dispositif, invisible comme lui, s'attaque à ce qui est imprimé : la constellation EURion et le Counterfeit Deterrence System (CDS) bloquent la reproduction des billets de banque. Les deux dispositifs partagent la même philosophie opaque : technologie imposée sans débat, sans spécification publique, sans recours. Mais ils opèrent sur des terrains distincts.

La trilogie des watermarks imposés, c'est MIC + EURion + CDS. Le MIC vous surveille, vous. Les deux autres surveillent ce que vous touchez. Mêmes constructeurs souvent, mêmes logiques d'opacité, même absence totale de recours.

Posture OPSEC, par niveau de menace

Check-list : votre vie imprimée face au MIC

Pour une impression ordinaire

• Je sais que mon imprimante couleur imprime probablement un MIC.
• Je sais que je ne peux pas le désactiver depuis les paramètres.
• Pour les documents sensibles, je préfère imprimer en noir et blanc.
• Pour les documents très sensibles, je ne les imprime pas.

Pour la vérification

• J'ai au moins une fois examiné une page de mon imprimante à la loupe, pour voir le motif.
• J'ai vérifié si mon imprimante figure dans la liste de l'EFF (ou son équivalent 2026).
• Si mon modèle n'est pas listé, je n'en conclus pas qu'il est sans MIC : il est peut-être simplement non testé.

Pour la véritable confidentialité

• J'ai une imprimante monochrome dédiée, ou un accès à une telle machine.
• Je sais utiliser Tails et OnionShare pour partager un document sensible sans impression.
• Je connais au moins un copy-shop local qui accepte le paiement en espèces.
• Je sais que la caméra de la boutique peut aussi me tracer : j'adapte la contre-mesure au modèle de menace.

FAQ

Mon imprimante bas de gamme imprime-t-elle un MIC ?
Probablement oui si elle est couleur et sortie après l'an 2000, probablement non si elle est strictement monochrome. La vérification à la loupe demeure le seul moyen fiable. Les listes constructeur et EFF donnent une indication, non une garantie.

Peut-on désactiver le MIC par firmware ou par logiciel ?
Aucun constructeur n'offre d'option utilisateur. Certains amateurs ont tenté d'intercepter le flux PostScript ou PCL pour supprimer le motif avant impression : les résultats sont bricolés, propres à un modèle, non généralisables. Pour un besoin ponctuel, un contournement par monochrome ou copy-shop est infiniment plus simple.

Les imprimantes 3D disposent-elles d'un équivalent ?
Pas de MIC publiquement documenté. Les armes imprimées en 3D (affaire Defense Distributed, Cody Wilson) ont fait l'objet d'études sur la possibilité d'un watermark imposé par le constructeur, notamment aux États-Unis. En 2026, aucune législation, aucune implémentation documentée. À surveiller.

Le dot-matrix est-il réellement sûr ?
Oui pour le MIC spécifiquement, le principe (encre jaune pâle en grille) ne s'appliquant pas à ces machines. Mais chaque dot-matrix présente des défauts physiques du ruban, du chariot, des aiguilles, qui laissent une signature matérielle. Un expert en forensic typography peut souvent remonter à la machine : cas documentés dans les procès de la fin des années 1990. En 2026, pour un enquêteur, la méthode reste coûteuse mais possible.

Mon employeur peut-il tracer mes impressions depuis mon poste ?
Oui, via les logs de l'imprimante elle-même (badge, PIN, nom d'utilisateur réseau), avec ou sans MIC. La question n'est pas tant le MIC que la journalisation activée du côté de l'imprimante professionnelle. Si l'on se pose la question, il faut considérer que oui par défaut.

Existe-t-il un recours RGPD ?
La CNIL et ses homologues européens n'ont jamais clairement qualifié le MIC de traitement de données personnelles au sens du RGPD. L'argument serait recevable (le numéro de série, croisé avec les factures, identifie une personne), mais aucune jurisprudence n'a tranché. En l'absence de qualification claire, pas de recours effectif.

Les imprimantes vendues en 2026 implémentent-elles encore le MIC ?
Oui, massivement. Aucun constructeur n'a publiquement retiré le dispositif. Certains, sous pression de l'EFF depuis 2005, ont réduit la quantité de métadonnées encodées (par exemple en retirant la date tout en conservant le numéro de série). D'autres ont ajouté des codes correcteurs qui rendent la rétro-ingénierie plus difficile. Le principe reste intact : l'impression couleur demeure un acte tracé.

Limites honnêtes

• Je n'ai pas accès au code firmware des imprimantes modernes. Les affirmations sur le fonctionnement actuel reposent sur l'analyse EFF de 2005-2017, les travaux académiques (Markus Kuhn, Cambridge), les procès publics et des échanges avec des membres du Chaos Computer Club. Les algorithmes ont évolué depuis vingt ans, les fondamentaux semblent intacts.
• Les listes de modèles ne sont jamais exhaustives ni toujours à jour. Pour un besoin opérationnel, vérifier soi-même à la loupe reste la méthode la plus fiable.
• Les contre-mesures évoquées ne sont pas des garanties absolues : chaque modèle de menace appelle sa propre réponse. Un journaliste qui protège une source doit consulter directement des organismes comme la Freedom of the Press Foundation plutôt que se fier à un article généraliste.
• Le rôle exact des points jaunes dans l'arrestation de Reality Winner reste discuté : l'affidavit fédéral s'appuyait principalement sur les pliures du document, les logs d'accès et les communications réseau. Les points jaunes ont été identifiés après publication par la communauté sécurité (Robert Graham, Errata Security) et ont scellé le symbole de l'affaire, sans constituer la preuve légale principale.

Sources

1. Jason Tuohey, Government Uses Color Laser Printer Technology to Track Documents, PCWorld, novembre 2004.
2. EFF, DocuColor Tracking Dot Decoding Guide, octobre 2005.
3. EFF, List of Printers Which Do or Do Not Display Tracking Dots, archives 2005-2017.
4. Seth Schoen, Yellow dots, printer identification, and the EFF, conférences CCC et DEF CON, 2005-2008.
5. FBI Affidavit, affaire United States v. Reality Winner, Southern District of Georgia, 2017, descellé après arrestation.
6. Robert Graham, How The Intercept Outed Reality Winner, Errata Security blog, juin 2017.
7. Kerry Howley, How Reality Winner Leaked an Intelligence Document and Was Caught in Days, New York Magazine, 2017.
8. Lily Hay Newman, How a Few Yellow Dots Burned the Intercept's NSA Leaker, Wired, juin 2017.
9. The Intercept, Statement on Justice Department Allegations, juin 2017.
10. Chaos Computer Club, Tracking Dots on Printed Pages, ateliers 25C3, 32C3, 36C3.
11. Markus Kuhn, Hidden data in your printer, Cambridge Computer Laboratory, 2002-2008.
12. Bruce Schneier, Printer dots, privacy, and the state, Schneier on Security, 2005 et mises à jour ultérieures.
13. Freedom of the Press Foundation, Protecting Your Sources, guide à jour en 2026.
14. Reporters sans frontières, Guide de sécurité numérique pour journalistes, section sources papier.

Chaque page couleur vous signe. Depuis trente ans. Reality Winner l'a appris trop tard. Il n'existe aucun bouton pour désactiver. Trois réponses seulement : passer en noir et blanc, utiliser une machine qui ne vous facture pas, ou ne pas imprimer du tout. Les trois restent, en 2026, à portée de main.