data_object Encodeur / Décodeur d'entités HTML star

Comment ça marche

HTML réserve une poignée de caractères pour sa propre syntaxe : < et > délimitent les balises, et & démarre une référence d'entité. Si ces caractères apparaissent littéralement dans un contenu inséré dans une page — un commentaire, un nom d'utilisateur, une recherche renvoyée à l'écran — le navigateur tente de les interpréter comme du balisage au lieu de les afficher comme du texte. L'encodage les convertit sous leur forme d'entité (<, >, &) afin qu'ils s'affichent comme des caractères littéraux au lieu d'être interprétés. Le décodage fait l'inverse, transformant des entités comme & ou ’ en leurs caractères réels.

Ce n'est pas un détail cosmétique — c'est un contrôle de sécurité. Si un champ de commentaire prend une saisie utilisateur et l'insère dans le HTML de la page sans l'encoder d'abord, un visiteur peut taper <script>...</script> et faire réellement exécuter ce script dans le navigateur de chaque autre visiteur : cette classe de vulnérabilité s'appelle le Cross-Site Scripting (XSS), et encoder toute sortie non fiable avant qu'elle ne touche le HTML est la défense standard contre cela. Par exemple, encoder le texte 5 < 10 & 10 > 5 produit 5 < 10 & 10 > 5, qui s'affiche correctement et ne peut pas être confondu avec du balisage.

Ce qu'il faut savoir

• Les entités nommées et numériques représentent le même caractère différemment. ' (nommée) et ' (numérique) signifient toutes deux une apostrophe, mais les entités nommées dépendent de la reconnaissance de ce nom précis par l'analyseur — les entités numériques (décimales ou hexadécimales &#x) sont universellement prises en charge et plus sûres pour une sortie générée par une machine.
• L'encodage n'est pas la seule défense. Il protège le contenu textuel ; les attributs, les URL et les contextes JavaScript en ligne ont besoin de leurs propres règles d'échappement, puisqu'une valeur dans href="javascript:..." ou dans un bloc <script> est analysée selon des règles différentes du texte de corps ordinaire.
• La conversion est locale. Cet outil utilise l'analyseur DOM propre à votre navigateur — rien n'est envoyé ni journalisé.
• Tous les langages de templating côté serveur n'échappent pas automatiquement par défaut. Certains (comme l'ancienne sortie PHP ou la concaténation de chaînes brute) exigent d'appeler explicitement une fonction d'échappement — l'oublier est l'une des sources les plus courantes de failles XSS réelles.
• Certaines entités se ressemblent visuellement de très près. Une apostrophe droite (') et une apostrophe typographique courbe (’) s'affichent presque à l'identique à l'écran mais sont des séquences d'octets différentes — une distinction qui compte dans des exemples de code ou des URL.

Un avant/après concret : un champ de commentaire contenant Bel article ! 5 < 10, non ? n'a besoin d'aucun traitement particulier en tant que texte brut, mais dès qu'il est inséré sans échappement dans un modèle HTML, un visiteur malveillant pourrait au contraire soumettre <img src=x onerror=alert(1)> — l'encodage transforme cela en texte inerte et visible au lieu d'un gestionnaire d'erreur d'image qui s'exécute réellement.