Encodage / Décodage Entités HTML - Outil en ligne gratuit

Fonctionnalités

Entités nommées

Entités numériques

Table de référence rapide

Comment Utiliser

1. Choisissez Encoder ou Décoder.

2. Collez votre texte dans la zone de saisie.

3. Le résultat apparaît à droite — cliquez sur Copier.

À propos de cet outil

En HTML, des caractères comme <, > et & ont une signification particulière : pour les afficher comme texte, il faut des entités comme <, > et &. Encoder ainsi le texte fourni par les utilisateurs fait aussi partie des défenses de base contre le cross-site scripting lorsqu'on insère du contenu dans une page. Cet outil convertit en entités les cinq caractères réservés — & < > " ' — ainsi que tout caractère non ASCII : le mode nommé utilise des formes lisibles comme é et © quand elles existent, et le mode numérique écrit des codes comme é pour tout. Le décodage retransforme n'importe quelle entité nommée ou numérique en caractère réel. C'est pratique pour préparer des exemples de code pour un article de blog, corriger un texte encodé deux fois dans un CMS ou lire les chaînes échappées d'une réponse d'API.

Questions Fréquentes

Quels caractères faut-il encoder en HTML ?

Dans le contenu textuel, & et < doivent toujours être encodés, et > l'est généralement aussi par cohérence. Dans les valeurs d'attribut, il faut également encoder le guillemet qui délimite la valeur (" ou '). Les autres caractères peuvent être écrits directement lorsque la page est en UTF-8.

Quelle différence entre entités nommées et numériques ?

Les entités nommées utilisent des noms lisibles comme © ou €, mais n'existent que pour une liste définie de caractères. Les entités numériques comme © ou € peuvent représenter n'importe quel caractère Unicode. Les navigateurs traitent les deux de la même façon.

Pourquoi vois-je &amp; dans mon texte ?

Le texte a été encodé deux fois : & a de nouveau été encodé en &amp;. Décodez une ou deux fois jusqu'à ce que les entités disparaissent, et assurez-vous que votre application n'échappe le contenu qu'à l'étape finale d'affichage.

L'encodage HTML suffit-il à empêcher les failles XSS ?

Il protège le texte placé dans des éléments HTML et dans des attributs entre guillemets. Le contenu inséré dans du JavaScript, du CSS, des URL ou des attributs sans guillemets nécessite un échappement propre à chaque contexte : utilisez les fonctions de gabarit de votre framework plutôt qu'un encodage manuel.

Le décodage exécute-t-il du HTML ou des scripts ?

Non. Le décodage convertit les entités en caractères par une méthode inerte et affiche le résultat en texte brut : les balises de l'entrée ne sont pas rendues et les scripts ne sont pas exécutés.