Entités HTML : encoder et décoder en ligne (&, <, apostrophe…)

Transformez les caractères sensibles en entités HTML ou XML, et inversement. Utile avant d’insérer du contenu dans du balisage ou pour analyser des chaînes déjà échappées. Des options gèrent les guillemets quand vous collez une valeur dans un attribut.

Chargement…
Échapper et déséchapper les entités HTML
Insérer du texte brut dans des attributs HTML ou des gabarits JSX peut casser le balisage ou ouvrir la porte à des failles XSS. En échappant &, <, > et, si vous le souhaitez, les guillemets, vous neutralisez ces injections sans changer le texte visible. FastMinify encode avec des options distinctes pour les guillemets et décode les références numériques et nommées.

Ce qui se passe en encodage et en décodage

Encode remplace les caractères structurels par &amp;, &lt;, &gt; et, en option, &quot; et &#39;. Decode développe les formes décimales comme &#123;, hexadécimales comme &#x7B; et les entités nommées courantes. Les séquences imbriquées comme &amp;lt; sont résolues de façon itérative. Decode ignore vos options pour les guillemets, car elles ne concernent que l’encodage.

Options pour les guillemets

Activez l’encodage des guillemets doubles pour les attributs HTML entre "…" ou les extraits de type JSON. Activez celui des apostrophes pour les gabarits PHP ou HTML entre '…'. Complétez toujours par un assainissement strict côté serveur avant d’enregistrer quoi que ce soit.

Exemples

Extrait prêt pour un attribut

Original

<div class="demo" data-label="Johnson & Sons" data-price="$100"> <p>Status: in stock &mdash; ships today</p> <blockquote>"Quality first" &mdash; founder</blockquote> <script>alert("xss-demo")</script> </div>

Échappé

&lt;div class=&quot;demo&quot; data-label=&quot;Johnson &amp; Sons&quot; data-price=&quot;$100&quot;&gt; &lt;p&gt;Status: in stock &amp;mdash; ships today&lt;/p&gt; &lt;blockquote&gt;&quot;Quality first&quot; &amp;mdash; founder&lt;/blockquote&gt; &lt;script&gt;alert(&quot;xss-demo&quot;)&lt;/script&gt; &lt;/div&gt;

Décoder entités numériques

Original

&copy; 2026 &#8212; caf&eacute;

Échappé

© 2026 — café

Enchaîner les étapes

Les gros blocs de balisage passent par le minificateur HTML, les scripts en ligne par la compression JS, et les flux structurés par le formateur JSON.

FAQ entités HTML

Éviter de casser le balisage tout en restant lisible

L’échappement remplace-t-il l’assainissement côté serveur ?

Non. Ne considérez jamais un outil côté client comme fiable. Validez toujours côté serveur, par exemple avec une bibliothèque comme DOMPurify.

Quelles entités sont décodées ?

Les formes numériques (décimales et hexadécimales) et les entités nommées courantes : nbsp, quot, amp, copy, mdash…

Pourquoi échapper les apostrophes ?

Un attribut entre apostrophes se termine trop tôt si l’apostrophe reste littérale. Écrire &#39; évite ce piège à l’analyse.

Decode enlève-t-il les & légitimes ?

Seules les séquences d’entités valides sont développées, et les & isolés restent intacts.

Le traitement reste-t-il privé ?

Oui. Tout reste dans votre session de navigateur.

Le mode Encode échappe-t-il tous les caractères spéciaux HTML ?

Toujours pour &, < et >. Les options de guillemets ajoutent &quot; ou &#39; pour les attributs. Les autres caractères restent tels quels, sauf s’ils sont déjà écrits sous forme d’entités.

Puis-je coller la sortie telle quelle dans React ou JSX ?

Utilisez la sortie comme aide pour des exemples. Les frameworks échappent déjà les nœuds de texte : suivez leurs recommandations plutôt qu’un échappement manuel seul.

Différence avec l’encodeur URL ?

Les entités HTML sécurisent le texte dans le balisage, alors que l’encodage pourcent prépare les chaînes pour les URL. Utilisez l’encodeur URL pour les chaînes de requête, puis les entités pour le contexte HTML.

Encodage

Encodez ou décodez Base64, composants URL et entités HTML — uniquement côté client.

Découvrez les autres catégories d'outils