Outils pour développeurs

Ce que les gens collent dans un décodeur Base64, par ordre de fréquence : un JWT, un en-tête Basic Auth, le payload d’un webhook, un fichier de configuration. Trois sur quatre sont des identifiants ou en contiennent. Un site qui décode cela sur un serveur les a donc déjà vus, et les garde dans ses journaux de requêtes, que quelqu’un l’ait voulu ou non.

Ce n’est pas une objection théorique. C’est la raison pour laquelle ce genre entier de site est bloqué au proxy dans beaucoup d’entreprises, et pourquoi là où il ne l’est pas il existe une charte que personne ne lit. Tout ce qui se passe ici est de l’arithmétique qu’un navigateur sait faire seul ; l’envoyer ailleurs est une décision, et c’est la mauvaise.

La page est du HTML statique servi depuis un CDN. À la première frappe, un petit module JavaScript se charge, une fois puis depuis le cache, et le travail se fait dans votre onglet. Aucune requête n’emporte ce que vous avez saisi, et cela se vérifie dans l’onglet réseau plutôt que sur parole.

Deux limites honnêtes. La page elle-même est une requête : le fait que vous soyez venu ici est donc visible pour nous et pour votre réseau. Et le site porte de la publicité et, si vous l’acceptez, de la mesure d’audience : ni l’une ni l’autre ne voit le contenu d’un champ de texte, mais toutes deux sont des requêtes vers des tiers. La différence est celle qui sépare ce que vous écrivez du fait que vous soyez là : le premier ne bouge jamais, le second bouge nécessairement.

Si les données ne quittent pas l’appareil, il n’y a ni transmission vers nous ni sous-traitance sur ce que vous collez. C’est le point qui tranche en pratique quand le champ contient une fiche client, un message de support ou un payload avec des données personnelles, et c’est pourquoi ces outils passent là où une version côté serveur ne passerait pas.

Ce qui se produit réellement est décrit dans la page de confidentialité et n’est pas maquillé ici : la visite, les requêtes publicitaires et de mesure, le consentement. Qu’un outil calcule en local ne rend pas le site entier neutre — cela en retire seulement la partie la plus lourde, celle qui intéresse la CNIL en premier.

Une page unique qui traiterait Base64, URL et HTML dans les deux sens derrière un sélecteur ferait moins de pages et de moins bonnes pages. Encoder et décoder échouent différemment, s’expliquent différemment et se cherchent différemment : celui qui a sous les yeux une séquence de pourcentage cassée et celui qui assemble un query string n’ont presque rien à se dire.

Chaque sens a donc sa page, avec les erreurs qui lui appartiennent : que faire quand du Base64 se résout en octets qui ne sont pas du texte, pourquoi `encodeURIComponent` laisse passer le point d’exclamation et ce que cela fait à une signature OAuth. C’est ce qui donne une page qui mérite d’être lue, et ce n’est possible que parce qu’elle ne s’adresse pas à six publics à la fois.

Une fois la page d’un outil chargée, tout se passe en local : cela marche dans le TGV, en avion, et derrière un proxy d’entreprise qui bloquerait le domaine une heure plus tard. Aucun service worker n’est installé et il n’y a rien à configurer ; une page qui n’appelle jamais vers l’extérieur n’a tout simplement rien à perdre quand la connexion, elle, se perd.

En pratique, cela veut dire que ces outils servent exactement dans les situations où un outil en ligne serait le mauvais choix : sur un poste qui n’est pas le vôtre, sur un réseau auquel vous ne faites pas confiance, avec des données que vous ne devriez de toute façon pas déplacer. C’est pour ce cas-là qu’ils sont faits.

Il n’y a rien à créer parce qu’il n’y a rien à administrer. Les outils ne gardent rien d’une visite à l’autre : fermer l’onglet efface ce que vous aviez saisi, puisque cela n’a existé nulle part ailleurs que dans cet onglet.

Il n’y a pas non plus de limite de volume, et ce n’est pas de la générosité : votre temps de calcul ne nous coûte rien, il n’y a donc rien à rationner. Le seul plafond est la quantité de texte que votre propre navigateur accepte de tenir dans un champ.

Ces pages écrivent payload, token, hash, query string et Base64 — pas charge utile, jeton, empreinte ni chaîne de requête. Ce n’est pas de la facilité : c’est la langue dans laquelle on parle de ces choses dans les équipes françaises, et celle dans laquelle on les cherche.

Là où le mot courant est français, c’est lui qui sert : somme de contrôle, octet, caractère, fuseau horaire, accent. La règle n’est pas « le plus de français possible » mais « le mot qui se dit à voix haute » ; toute autre règle produit une page correctement traduite que personne ne trouve.

Il n’y a pas de formateur HTML, CSS ni JavaScript, et c’est une décision plutôt qu’un trou. Un formateur correct demande un vrai analyseur ; les bibliothèques employées pour cela pèsent plusieurs mégaoctets et seraient une décision de licence et de temps de chargement à part entière, et une version maison abîme des entrées en silence. Le formateur JSON n’est inoffensif que parce que cet analyseur-là est déjà dans le navigateur.

Il manque aussi un aperçu Markdown ou HTML. Les deux voudraient dire afficher du HTML étranger à l’intérieur de cette page, ce que la page de décodage des entités HTML refuse précisément, arguments à l’appui, parce qu’un tel analyseur peut déclencher des requêtes réseau. Un argument valable sur une page ne peut pas être ignoré sur la suivante.