HTML Encode / Decode

L'encodage HTML convertit les caractères spéciaux en entités HTML afin que le navigateur les affiche comme du texte au lieu de les interpréter comme du balisage. Par exemple, le signe inférieur à < devient <, et l'esperluette & devient &.

C'est essentiel lorsque vous insérez dans une page HTML du texte fourni par des utilisateurs, des extraits de code, des noms de produits, des commentaires, du contenu CMS ou des chaînes traduites. Échapper les bons caractères aide à prévenir les failles Cross-Site Scripting (XSS) et évite les mises en page cassées par des balises ou attributs accidentels.

L'encodage remplace les cinq caractères spéciaux HTML par leurs entités équivalentes : & → &, < → <, > → >, " → " et ' → '.

Le décodage est l'opération inverse : il convertit les entités HTML — nommées, comme é, décimales comme é ou hexadécimales comme é — en caractères Unicode. C'est utile pour lire du code HTML échappé, nettoyer des extraits copiés, vérifier une sortie CMS ou déboguer des réponses d'API contenant du texte encodé sous forme d'entités.

Utilisez l'encodeur lorsque le texte doit apparaître dans un document HTML exactement comme il a été écrit : exemples de documentation, fragments de code visibles, avis clients, titres d'articles, aperçus de formulaires ou tout champ pouvant contenir des chevrons, esperluettes ou guillemets.

Utilisez le décodeur lorsque vous devez rendre lisible un contenu échappé, comme <div>, ©, © ou 😀. L'outil est pratique pour le développement web, la QA, les audits SEO, la migration de contenu, les modèles d'e-mail et les tickets de support où le balisage encodé est difficile à inspecter à l'œil nu.

L'encodage HTML n'est pas du chiffrement et ne masque pas les données. C'est une technique d'échappement de sortie pour le contexte HTML. Elle aide le navigateur à traiter les caractères spéciaux comme du texte, mais dans une application de production elle doit être combinée avec la validation, la sanitisation et l'échappement fourni par le framework.

Chaque contexte nécessite ses propres règles d'échappement. Le texte dans HTML, les valeurs dans les URL, les chaînes JavaScript, le CSS et les requêtes SQL ne sont pas interchangeables. Pour une sortie HTML, encodez les caractères spéciaux HTML ; pour les liens et les query strings, utilisez l'encodage URL.