L'encodage Base64 expliqué : ce que c'est et quand l'utiliser

Base64 est un de ces termes qui apparaît sans cesse — dans les data URI, les pièces jointes, les jetons d'API et les fichiers de configuration — mais qui est rarement expliqué clairement. On le confond souvent avec le chiffrement, ce qui mène à de vraies erreurs de sécurité. Ce guide explique ce que fait réellement Base64, pourquoi il agrandit les données, où il est vraiment utile, et les mythes à désapprendre.

Ce qu'est Base64

Base64 est un encodage, pas du chiffrement ni de la compression. Son rôle est de représenter des données binaires arbitraires — une image, un fichier, n'importe quelle suite d'octets — avec seulement 64 caractères de texte « sûrs » : A–Z, a–z, 0–9, plus + et / (avec = pour le remplissage). Chacun de ces caractères survit aux systèmes conçus pour traiter du texte brut, ce qui est la raison même de l'existence de Base64.

Pourquoi il est nécessaire

Beaucoup de systèmes anciens mais encore essentiels — l'e-mail en est l'exemple classique — ont été conçus pour transporter du texte, pas du binaire brut. Y envoyer du binaire directement peut corrompre les données : certaines valeurs d'octets sont interprétées comme des caractères de contrôle, supprimées ou déformées. Base64 contourne le problème en traduisant le binaire en une forme texte qui passe intacte, puis en la retraduisant à l'autre bout.

Conceptuellement, l'aller-retour ressemble à ceci :

données binaires  →  texte Base64        →  données binaires
(original)           (sûr à envoyer)        (copie identique)

Pourquoi Base64 agrandit les données d'environ 33 %

Rien n'est gratuit. Base64 prend trois octets (24 bits) en entrée et les découpe en quatre groupes de 6 bits, chacun étant associé à l'un des 64 caractères. Trois octets entrent, quatre caractères sortent — la sortie encodée est donc environ un tiers plus grande que l'original. Ce surcoût est le prix pour rendre le binaire sûr à transmettre en texte, et c'est pourquoi il ne faut pas encoder de gros fichiers en Base64 sans bonne raison.

Où vous le verrez vraiment

Data URI

Vous pouvez intégrer une petite image directement dans du HTML ou du CSS sous forme de data URI en Base64, en évitant une requête réseau séparée :

<img src="data:image/png;base64,iVBORw0KGgoAAAANSUh..." />

Pratique pour de minuscules icônes, mais à cause de la pénalité de 33 % de taille, c'est un mauvais choix pour tout ce qui est volumineux.

Pièces jointes d'e-mail

En coulisses, les pièces jointes sont encodées en Base64 pour que les fichiers binaires traversent intacts le système d'e-mail basé sur le texte.

Jetons et configuration

Les jetons et les identifiants sont fréquemment encodés en Base64 pour tenir sans risque dans des en-têtes, des URL ou des fichiers de configuration en texte. Un JWT (JSON Web Token), par exemple, est fait de trois sections encodées en Base64 reliées par des points — ce qui explique justement pourquoi un décodeur de JWT peut en lire le contenu instantanément.

Le mythe de la sécurité

Voici le plus important à comprendre : Base64 n'est pas du chiffrement et n'offre aucune sécurité. Il n'y a ni clé ni secret — n'importe qui peut décoder du Base64 en données originales en une fraction de seconde. Si vous voyez un mot de passe ou une clé d'API « protégé » uniquement par Base64, traitez-le comme s'il était en clair, car il l'est de fait.

Base64 répond à la question « comment déplacer ces données en toute sécurité par un canal texte ? » — pas « comment garder ces données secrètes ? ». Pour le secret, il faut un vrai chiffrement. Il est courant de combiner les deux : chiffrer d'abord, puis encoder en Base64 le résultat chiffré pour pouvoir le transmettre en texte.

Base64 et les URL

Le Base64 standard utilise + et /, qui ont des significations spéciales dans les URL et peuvent être corrompus lorsqu'ils sont passés en paramètres de requête. Une variante appelée Base64URL les remplace par - et _ et abandonne le remplissage, rendant la sortie sûre à insérer directement dans une URL. Si vous vous débattez aussi avec des caractères comme les espaces ou les esperluettes dans une URL, c'est le travail de l'encodage d'URL — un autre outil pour un autre problème.

L'encoder et le décoder soi-même

Vous avez rarement besoin de faire du Base64 à la main, mais vous devez souvent l'inspecter ou le produire — lire un data URI, vérifier le contenu d'un jeton ou créer une image intégrée. Notre encodeur et décodeur Base64 convertit le texte dans les deux sens instantanément et entièrement dans votre navigateur, de sorte que même les valeurs sensibles ne quittent jamais votre appareil. Collez du Base64 pour voir l'original, ou du texte pour obtenir la forme encodée.

Le résumé en une ligne

Base64 transforme le binaire en texte sûr et inversement, au prix d'environ 33 % de taille en plus, et n'offre aucun secret. Utilisez-le pour transporter des données, jamais pour les protéger.