Qu’est-ce qu’un fichier DOCM ?

DOCM est un conteneur : une enveloppe pour des flux encodés par autre chose. Il est utilisé pour la retouche.

L’extension est .docm et le nom complet Word Macro-Enabled Document. L’un et l’autre comptent moins que ce que le fichier peut contenir, et c’est le sujet du reste de cette page.

Microsoft l’a publié en 2007. La spécification est ECMA-376.

L’âge est utile à connaître pour une raison pratique : plus un format est ancien, plus les programmes ont eu le temps de l’apprendre.

Elle est publiée intégralement : n’importe qui peut l’implémenter à partir du document plutôt qu’en l’observant, et c’est pourquoi ce format apparaît dans tant de programmes et pourquoi des fichiers écrits il y a vingt ans s’ouvrent encore. Une spécification publiée n’est pas pour autant libre de redevances : quand un format enveloppe un codec, les brevets sont une question à part, que la norme ne tranche pas.

Un fichier DOCM n’est pas limité à une page, et cela compte au moment de le convertir vers quelque chose qui l’est : une conversion produit un fichier contenant une seule page — la première, sauf si le convertisseur vous laisse choisir laquelle.

DOCM a le droit de transporter du code exécutable, et c’est en général la seule raison pour laquelle quelqu’un croise cette extension : un serveur de messagerie ou un portail documentaire l’a refusée. Convertir vers un format sans macros est le contournement habituel — et oui, les macros disparaissent au passage.

DOCM contient un document texte : des paragraphes qui se recomposent selon la page où ils tombent.

C’est ce qui décide de la conversion : le texte se recompose, donc les numéros de page sont une propriété du résultat et non du fichier.

Microsoft Word le lit, comme la plupart des programmes du même genre.

Quand un fichier ne s’ouvre pas, le format est rarement en cause : le plus souvent, c’est le programme qui est plus ancien que lui. Convertir vers quelque chose de plus ancien est le contournement fiable, et c’est à cela que sert le reste de ce site.

Aucun navigateur ne le lit.

C’est de loin la raison la plus fréquente de le convertir : non pas que le format soit mauvais, mais que l’endroit où vous voulez montrer le fichier ne sache pas le lire.

DOCM est fait pour être ouvert et modifié. Gardez le fichier dans ce format tant que le travail dure, et exportez depuis lui chaque fois qu’une version finie est nécessaire.

DOCM et DOCX sont le même format — un paquetage ZIP de XML contenant le texte, les styles et les images — à une différence près : un DOCM peut contenir un projet VBA et un DOCX ne le peut pas. L’extension existe pour rendre cela visible avant l’ouverture du fichier, ce qui est un petit geste mais qui fait la différence entre la méfiance aveugle et la méfiance éclairée.

Là où cela diffère des tableurs, c’est la fréquence à laquelle c’est justifié. Un classeur piloté par macros est une brique normale de l’automatisation bureautique ; un document Word piloté par macros est bien plus rare. Les modèles qui remplissent des champs, génèrent un courrier ou appliquent une charte sont les cas légitimes, et ils ne sont qu’une petite fraction des fichiers DOCM en circulation, ce qui rend la suspicion statistiquement fondée.

Autant être direct. Les documents Word avec macros ont été, pendant la plus grande partie d’une décennie, le mécanisme de diffusion de logiciels malveillants le plus efficace qui existait — une facture, un bon de livraison, un CV, un document prétendant avoir besoin de macros activées pour s’afficher correctement. L’ingénierie sociale qui entoure ces pièces jointes est aussi travaillée que la charge utile.

La phrase « activer le contenu pour visualiser ce document » est le signal. Un vrai document n’a pas besoin de macros pour être lisible ; le texte est dans le XML et Word le rend que du code s’exécute ou non. Tout fichier qui dit le contraire décrit ce qu’il veut vous voir faire plutôt que le fonctionnement des documents, et cette inversion est ce qui doit alerter, plus que l’extension elle-même.

Office bloque désormais les macros sans appel dans les documents venus d’Internet ou d’une pièce jointe, au lieu de proposer un bouton d’activation. Windows marque ces fichiers d’un indicateur de zone, et Word refuse le code avec une bannière rouge et un lien qui explique pourquoi. Le changement a rapproché Office du comportement par défaut d’autres suites.

L’effet a été mesurable, et la réponse aussi : les attaquants se sont tournés vers d’autres types de fichiers, et les fichiers ISO et LNK ont pris le relais. Pour les documents légitimes, la solution consiste à débloquer le fichier dans ses propriétés ou à le garder dans un dossier configuré comme emplacement approuvé — deux gestes délibérés de quelqu’un qui sait d’où vient le fichier, ce qui est précisément l’objectif, et ce qui rend la signature numérique plus importante qu’elle ne l’a jamais été.

Les modèles d’entreprise qui insèrent un en-tête, remplissent des champs depuis une base de données, appliquent une numérotation ou produisent un document à partir d’un formulaire. Les cabinets juridiques et financiers y ont en particulier des investissements lourds, et cela fonctionne, parce que les volumes de production justifient l’effort de maintenance.

À noter qu’un modèle est en général DOTM plutôt que DOCM — le format de modèle avec macros — parce que l’utilisation prévue consiste à démarrer de nouveaux documents à partir de lui plutôt qu’à le faire circuler. Un document fini qui porte des macros est un objet un peu étrange, et demander pourquoi est une question raisonnable plutôt que paranoïaque, surtout dans un contexte où la tentation de glisser du code est permanente.

Enregistrer en DOCX supprime le projet VBA et conserve le texte, les styles, les images, les tableaux, les en-têtes, les pieds de page et tout le reste. Word prévient avant. Pour un document qu’on vous a envoyé et que vous n’avez qu’à lire, c’est la bonne manipulation et cela prend une seconde, ce qui est le test d’une bonne fonctionnalité de sécurité — elle est moins coûteuse que la laisser passer.

Convertir en PDF va plus loin et est la meilleure réponse pour tout ce qui est final. Un PDF ne peut pas exécuter de code du tout, il fige la mise en page, et c’est ce que la plupart des destinataires auraient préféré recevoir dès le départ. Si vous envoyez un document qui vit dans un modèle à macros, exporter un PDF est à la fois plus sûr et plus prévenant que de faire suivre le DOCM, et cela évite au destinataire de devoir prendre une décision de sécurité.

Renommez-le en .zip et ouvrez l’archive. Le texte et la mise en forme sont en XML lisible, donc vous pouvez voir ce que dit réellement le document sans que Word n’exécute quoi que ce soit. Le projet VBA est un flux binaire qui n’y sera pas lisible, ce qui est en soi informatif : un document dont le blob de macros est volumineux fait quelque chose de substantiel, et un blob minuscule fait quelque chose de ciblé.

Pour lire le code, l’éditeur VBA de Word ou de LibreOffice l’ouvrira sans l’exécuter, ce qui permet d’inspecter sans risquer. Pour un fichier inconnu d’un expéditeur inconnu, le conseil honnête est plus simple : ne l’ouvrez pas du tout, et demandez à l’expéditeur de quoi il s’agit, parce que la prudence est moins coûteuse que la récupération après incident.

Demandez d’abord si le destinataire a réellement besoin de l’automatisation. S’il n’a besoin que du contenu, envoyez du DOCX ou du PDF et toute la question disparaît — et la passerelle de messagerie sera nettement moins susceptible de le mettre en quarantaine, ce que beaucoup font désormais pour les pièces jointes avec macros, et qui crée des incidents opérationnels supplémentaires.

Si l’automatisation est l’intérêt du fichier, envoyez-le par un canal où le fichier n’est pas marqué comme issu d’Internet : un lecteur partagé, une bibliothèque documentaire interne, un paquet déployé par l’IT. Envoyer un DOCM par mail et expliquer ensuite au destinataire comment le débloquer est une habitude que le changement de 2022 existe précisément pour briser, et continuer à la former revient à demander aux gens de désactiver eux-mêmes une protection mise en place pour eux.

La majorité des DOCM échangés aujourd’hui le sont entre collaborateurs de confiance sur des réseaux internes, et la menace concrète y est très inférieure à ce qu’elle était lorsque les pièces jointes DOCM arrivaient par mail public. Le risque n’a pas disparu, mais sa distribution s’est déplacée, et les attaquants suivent le déplacement.

Ce qui n’a pas changé, c’est l’utilité d’une politique claire. Une organisation qui sait quels types de documents elle accepte en pièces jointes et par quels canaux réduit ses incidents plus efficacement qu’une autre qui forme ses employés à reconnaître le danger dans chaque fichier individuel. Le réflexe sain est de poser la question du canal avant celle du contenu.