Pourquoi é devient-il é et non é ?

Parce qu’une référence numérique fonctionne dans tous les documents. Les entités nommées au-delà des cinq de base sont définies par le doctype HTML — XML n’en prédéfinit que cinq, si bien que `é` dans un fichier XML est une erreur d’entité non définie. `é` n’a pas cette condition.

Dois-je échapper tous les caractères non ASCII ?

Non. Un document UTF-8 qui déclare son encodage affiche `é` directement, et c’est en général la meilleure source. L’échappement sert quand le texte doit traverser un canal en ASCII seul ou que vous ne maîtrisez pas : un vieux moteur de gabarits, une passerelle de messagerie, un champ de base dont l’encodage est inconnu.

Cela suffit-il à rendre une saisie utilisateur sûre en HTML ?

Pour du contenu textuel et pour une valeur d’attribut entre guillemets, oui : ces cinq caractères sont exactement ceux qui changent le sens du balisage. Ce n’est **pas** suffisant dans ` ` ou ` `, dans un attribut sans guillemets, ni dans un attribut d’URL où le risque est `javascript:`. L’échappement dépend du contexte, et cet outil en couvre un.

Échappement HTML — du texte qui reste du texte

Échappez un texte pour le HTML. Les cinq caractères de structure deviennent des entités nommées, le reste une référence numérique qui marche partout.

Instantané Privé Zéro cookie

Ce que fait cet outil

Cinq caractères changent le sens du HTML : ils reçoivent un nom.

Caractère	Sortie
`&`	`&`
`<`	`<`
`>`	`>`
`"`	`"`
`'`	`'`

Tout ce qui dépasse l’ASCII imprimable devient une référence numérique décimale : é donne é, € donne €.

Numériques plutôt que nommées

é ressort en é, pas en é, et c’est délibéré.

Une entité nommée doit être définie par le type de document. HTML en définit quelques milliers ; XML en définit exactement cinq. Collez é dans un fichier XML, un flux Atom ou un document XHTML servi comme du XML : l’analyseur signale une entité non définie. é est compris par tous.

Les caractères invisibles deviennent visibles

Une espace insécable devient  . C’est souvent tout l’intérêt de l’outil : un U+00A0 collé depuis Word ressemble exactement à une espace dans votre éditeur et ne se comporte pas du tout comme elle, et l’encodage est la manière de le repérer.

Tabulation et saut de ligne restent bruts. Ils sont légitimes dans du texte HTML, et les transformer en références rendrait la source moins lisible sans rien apporter.

L’apostrophe

' devient ' plutôt que '. ' est défini en XML et en HTML5, mais pas en HTML 4 : un document dans ce mode affiche les sept caractères au lieu du guillemet. La forme numérique n’a pas ce trou.

Une référence par caractère, pas par unité

Un emoji ressort en 😀, une seule référence. Les caractères hors du plan multilingue de base sont stockés sur deux unités en interne, et un échappeur naïf en émet deux références cassées. Celui-ci parcourt les points de code.

Confidentiel par conception

Tout s’exécute localement dans votre navigateur en JavaScript. Vos données ne sont jamais envoyées sur un serveur, ce qui rend l’outil sûr pour des contenus sensibles, et il fonctionne hors ligne.

Questions fréquentes

Pourquoi é devient-il é et non é ?: Parce qu’une référence numérique fonctionne dans tous les documents. Les entités nommées au-delà des cinq de base sont définies par le doctype HTML — XML n’en prédéfinit que cinq, si bien que `é` dans un fichier XML est une erreur d’entité non définie. `é` n’a pas cette condition.
Dois-je échapper tous les caractères non ASCII ?: Non. Un document UTF-8 qui déclare son encodage affiche `é` directement, et c’est en général la meilleure source. L’échappement sert quand le texte doit traverser un canal en ASCII seul ou que vous ne maîtrisez pas : un vieux moteur de gabarits, une passerelle de messagerie, un champ de base dont l’encodage est inconnu.
Cela suffit-il à rendre une saisie utilisateur sûre en HTML ?: Pour du contenu textuel et pour une valeur d’attribut entre guillemets, oui : ces cinq caractères sont exactement ceux qui changent le sens du balisage. Ce n’est **pas** suffisant dans `<script>` ou `<style>`, dans un attribut sans guillemets, ni dans un attribut d’URL où le risque est `javascript:`. L’échappement dépend du contexte, et cet outil en couvre un.