🚀 Démarrage rapide

Saisissez du contenu (HTML ou texte déjà échappé) dans la zone de texte
Choisissez Encoder ou Décoder
Cliquez sur le bouton pour convertir ; le résultat s’affiche dans la même zone
Cliquez sur Copier pour réutiliser le résultat

📌 Cas d’usage courants

Commentaires utilisateur : Échapper les commentaires soumis par les utilisateurs pour prévenir les attaques XSS
Articles de blog : Afficher des exemples de code HTML dans les articles
Messages de forum : Afficher en toute sécurité le contenu généré par les utilisateurs
Messages de chat : Empêcher la propagation de code malveillant via les fonctionnalités de chat
Données de formulaire : Traiter et afficher les données de soumission de formulaire
Affichage de code : Afficher des extraits de code HTML/JavaScript sur des pages web

🧭 Conseils d’utilisation

Échappement contextuel : Choisir la stratégie d'échappement appropriée selon l'emplacement de sortie
Traitement côté serveur : L'échappement de sécurité critique doit être effectué côté serveur
Double vérification : Vérifier la sortie après échappement pour s'assurer que rien n'est manqué
Utiliser des bibliothèques : Les environnements de production devraient utiliser des bibliothèques d'échappement matures plutôt qu'un traitement manuel
Vérification de l'aperçu : Aperçu de l'affichage réel dans la console du navigateur après échappement

🎛️ Règles d’échappement et entités

Caractères courants : < > & " ' (le slash / n’est généralement pas nécessaire ; selon le contexte)
Format d'entité : Les caractères spéciaux sont convertis au format &entity; ou &#code;, par ex. < devient &lt; ou &#60;
Échappement des attributs : Les guillemets sont convertis en &quot;, protégeant les valeurs d'attribut HTML
Protection des scripts : Les balises <script> sont automatiquement échappées pour empêcher l'injection JavaScript
Traitement des balises : <div> est converti en &lt;div&gt;, empêchant l'analyse par le navigateur

⚠️ Limites & Compatibilité

Pas un assainisseur (sanitizer) : ne supprime pas scripts/événements/protocoles dangereux ; à combiner avec une sanitisation du contenu
Protection incomplète : L'échappement seul ne peut pas prévenir tous les XSS, combiner avec d'autres mesures de sécurité
Dépendant du contexte : Différents emplacements nécessitent différentes stratégies d'échappement (contenu HTML, attributs, JavaScript, CSS)
Pour garder la page fluide, les textes très volumineux peuvent être traités de manière simplifiée. Pensez à scinder

🔒 Confidentialité & Sécurité

Tous les traitements s’effectuent dans votre navigateur ; aucune donnée ne quitte votre appareil

❓ FAQ

Qu'est-ce qu'une attaque XSS ?

Le XSS (Cross-Site Scripting) est lorsque des attaquants injectent des scripts malveillants dans des pages web pour voler des informations utilisateur ou effectuer des opérations malveillantes. L'échappement HTML est une défense fondamentale contre le XSS

Quand l'échappement HTML est-il nécessaire ?

L'échappement est nécessaire lors de l'affichage de toute entrée utilisateur, y compris les commentaires, messages, données de formulaire, etc. Tout contenu susceptible de contenir des balises HTML nécessite un échappement

Quelle est la différence entre &lt; et &#60; ?

Les deux représentent le caractère <. &lt; est une entité nommée, &#60; est une entité numérique. Ils fonctionnent de la même manière, les entités nommées sont plus lisibles, les entités numériques sont plus universelles

L'échappement empêche-t-il toutes les injections JavaScript ?

Non. L'échappement HTML ne fonctionne que dans le contexte HTML. Les contextes JavaScript, CSS et URL nécessitent différentes méthodes d'échappement

Pourquoi vois-je parfois &amp;lt; double échappement ?

Cela se produit lorsque le contenu est échappé deux fois. D'abord < devient &lt;, puis & est échappé en &amp;, résultant en &amp;lt;. Évitez l'échappement répété

Comment autoriser certaines balises HTML sûres ?

Utilisez la sanitisation (pas seulement l’échappement) : liste blanche de balises/attributs sûrs et filtrage des protocoles. Conserver uniquement p/br/ul/ol/li/a/strong/em/code/pre/blockquote/h1–h3 ; pour a seulement href/title/target (protocoles http/https/mailto/tel), pour img seulement src/alt ; supprimer style et tous les événements on*. Recommandez DOMPurify/sanitize‑html ; si possible, sanitisez côté serveur ; n’insérez jamais de contenu non fiable dans innerHTML/dangerouslySetInnerHTML ; pour du texte brut, utilisez textContent