Base64 est un encodage, pas un chiffrement — et cette confusion a déjà « protégé » des mots de passe que n’importe qui pouvait lire en deux secondes. Base64 transforme des octets quelconques en un texte de 64 caractères inoffensifs, pour que des données binaires passent là où seul le texte est admis. Ce guide explique le fonctionnement, où vous le voyez chaque jour et quand c’est le mauvais outil.
Comment fonctionne Base64
Trois octets (24 bits) sont découpés en quatre groupes de 6 bits ; chaque groupe donne un caractère de l’alphabet A–Z, a–z, 0–9, + et /. S’il reste moins de trois octets à la fin, on complète avec =. « Hi » devient SGk=, « Bonjour » devient Qm9uam91cg==. Comme 3 octets deviennent 4 caractères, chaque fichier grossit de 33 % — le prix pour tenir dans du JSON, du XML ou le texte d’un e-mail.
Où vous croisez Base64
- Pièces jointes d’e-mail : SMTP ne transporte que du texte ; toute pièce jointe est en Base64.
- Data URI :
<img src="data:image/png;base64,iVBOR…">intègre de petites images directement dans le HTML ou le CSS — pas de requête supplémentaire, mais 33 % d’octets en plus et pas de cache. - Jetons JWT : en-tête et payload sont en Base64url, lisibles par quiconque détient le jeton. D’où l’interdiction d’y mettre des secrets.
- API et Basic Auth :
Authorization: Basic dXNlcjpwYXNzest utilisateur:mot de passe en Base64 — sûr uniquement en HTTPS. - Fichiers de configuration : certificats, secrets Kubernetes, données du presse-papiers.
L’encodeur Base64 encode et décode texte et fichiers dans le navigateur, en UTF-8 sûr, et produit des Data URI prêts à l’emploi.
Base64 contre Base64url
Le Base64 standard contient +, / et =, qui ont un sens particulier dans les URL. Base64url les remplace par - et _ et omet le remplissage. JWT, états OAuth et noms de fichiers utilisent Base64url ; décoder avec la mauvaise variante donne du bruit ou des erreurs.
Pourquoi Base64 n’est pas du chiffrement
Il n’y a pas de clé. N’importe qui peut décoder du Base64, avec n’importe quel outil, dans n’importe quel langage. Un mot de passe en Base64 est un mot de passe en clair avec un détour. Pour la confidentialité, il faut du chiffrement (AES, RSA) ; Base64 vient ensuite, pour rendre le résultat chiffré transportable.
Questions fréquentes
Pourquoi les accents sont-ils cassés après décodage ?
Le texte a été encodé en Latin-1 et décodé en UTF-8, ou l’inverse. Toujours UTF-8 des deux côtés.
Quand intégrer des images en Data URI ?
Seulement sous 2 Ko environ (icônes, sprites). Au-delà, livrez un fichier : les 33 % de surpoids et l’absence de cache coûtent plus que la requête économisée.
Comment reconnaître du Base64 ?
Uniquement A–Z, a–z, 0–9, + et /, une longueur multiple de 4 et zéro à deux = à la fin.
Gratuit, fonctionne dans votre navigateur, rien n’est envoyé, sans inscription.
Continuer la lecture
Plus de Outils développeur et code.
