Décodeur d'entités HTML gratuit — Décoder le HTML

Qu'est-ce que le décodage d'entités HTML ?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Fonctionnalités clés

Exemples détaillés

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

Comment utiliser le décodeur d'entités HTML

1. 1

   Collez la chaîne échappée

   Déposez le texte plein d'entités HTML dans la zone de saisie. Les caractères décodés se mettent à jour en direct au fur et à mesure de la frappe — il n'y a pas de bouton d'envoi et rien n'est transmis nulle part.

2. 2

   Lisez le résultat décodé

   Les références nommées, décimales et hexadécimales se résolvent toutes automatiquement vers les caractères qu'elles représentent, y compris les émojis et autres points de code du plan astral. Aucune sélection de format n'est nécessaire — le décodeur détecte le type de chaque référence.

3. 3

   Copiez le texte décodé

   Cliquez sur Copier pour placer les caractères récupérés dans votre presse-papiers, prêts à être collés dans un éditeur, une base de données ou un autre outil. Effacer réinitialise les deux volets pour la chaîne suivante.

4. 4

   Rééchappez avant de réafficher un texte non fiable

   Si la sortie décodée sera rendue de nouveau dans une page web et qu'une partie provient d'une source non fiable, rééchappez-la d'abord avec l'encodeur pour éviter de rouvrir une faille XSS.

5. 5

   Besoin d'encoder à la place ? Inversez le sens

   Utilisez Inverser le sens pour basculer vers l'encodeur d'entités HTML lorsque vous voulez transformer des caractères bruts en entités.

Erreurs courantes de décodage HTML

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Qui utilise cet outil

Lire du balisage stocké sous forme échappée

Vous avez tiré un fragment HTML d'une base de données, d'un journal ou d'un champ JSON où il était enregistré sous la forme <div>… ? Décodez-le pour voir et modifier le vrai balisage au lieu de plisser les yeux devant un mur d'entités.

Déboguer un texte doublement encodé

Vous voyez &lt; sur une page active là où < devrait être ? Collez-le ici pour confirmer le double encodage, décodez-le deux fois pour récupérer l'original, et remontez le double échappement jusqu'à sa source dans votre pipeline.

Extraire du texte brut d'extraits HTML

Besoin du texte lisible d'un corps d'e-mail ou d'un champ CMS échappé ? Décodez les entités pour récupérer les caractères réels avant d'indexer, rechercher ou afficher le contenu ailleurs.

Récupérer des caractères de données extraites ou exportées

Les exports et les scrapers livrent souvent du contenu avec les entités intactes. Décodez &, é et consorts vers leurs caractères pour que les données soient propres avant d'entrer dans vos propres systèmes.

Vérifier qu'une sortie d'encodeur fait l'aller-retour

Après avoir échappé une chaîne avec l'encodeur, décodez-la ici pour confirmer que vous récupérez l'original inchangé. Un aller-retour propre prouve que votre échappement est correct et réversible.

Résoudre une entité mystère

Vous bloquez sur ce qu'est réellement ™ ou … ? Collez-le et lisez le caractère décodé, ou consultez le tableau de référence rapide intégré — pas besoin de mémoriser les tables d'entités.

Décoder du balisage hérité en toute sécurité

Vous travaillez avec du vieux HTML qui utilise des entités sans point-virgule comme &copy ou &nbsp de façon incohérente ? Le décodeur tolérant récupère les caractères voulus comme le ferait un vrai navigateur, de sorte que votre nettoyage correspond à ce que les utilisateurs voient réellement.

Comment fonctionne le décodeur

Résout les trois formes de référence

Le décodeur compare les références nommées à la table complète des caractères nommés HTML5, analyse les références décimales (&#NNN;) comme des points de code en base 10, et les références hexadécimales (&#xHHH;) comme des points de code en base 16. Chacune se résout vers son caractère Unicode ; les trois formes sont interchangeables en entrée.

Reconstruction du plan astral

Les références numériques dont le point de code dépasse U+FFFF — la plupart des émojis et de nombreux symboles — sont converties en la paire de substitution correcte pour que le caractère s'affiche comme un seul glyphe. 😀 devient 😀, pas deux demi-caractères cassés.

Gestion tolérante des entités héritées

Un sous-ensemble défini d'entités nommées apparaissait historiquement sans point-virgule final, et les navigateurs les résolvent toujours. Le décodeur reflète ce comportement — &copy 2026 donne © 2026 — correspondant au rendu d'un vrai navigateur plutôt qu'à celui d'un analyseur XML strict.

Idempotent sur le texte brut

Les caractères qui ne font pas partie d'une référence reconnue, y compris le texte non ASCII brut déjà présent dans l'entrée, passent intacts. Décoder une chaîne sans entités la renvoie inchangée, l'opération est donc sûre à exécuter sur du contenu mixte.

La sortie décodée est déséchappée

Le décodage est l'inverse de l'échappement protecteur contre le XSS, le résultat est donc de nouveau du balisage actif. L'outil le signale pour que vous n'insériez pas un texte décodé non fiable dans une page avec innerHTML — rééchappez-le dans son contexte de destination avant le rendu.

Local au navigateur, réseau nul

Le décodage s'exécute de manière synchrone en JavaScript sur le thread principal ; il n'y a aucun appel d'API, aucun aller-retour serveur, et aucune persistance. L'entrée ne quitte jamais la page, ce que vous pouvez confirmer en observant un panneau Réseau vide pendant la frappe.

Bonnes pratiques de déséchappement HTML

Ne jamais rendre directement un texte décodé non fiable

La sortie décodée est du balisage déséchappé. Si une partie provient d'un utilisateur ou d'une source externe, rééchappez-la avant de l'insérer dans une page, ou affectez-la via textContent plutôt qu'innerHTML. Sauter cette étape rouvre la faille d'injection de script que l'échappement était censé fermer.

Décoder dans l'ordre inverse de l'encodage

Une valeur peut être encodée en HTML, puis en URL, puis en Base64. Défaites les couches dans l'ordre inverse de leur application — et utilisez l'outil adapté à chacune : celui-ci pour les entités, le décodeur d'URL pour l'encodage en pourcent, l'outil Base64 pour le base64.

Décoder une fois, pas par réflexe

Si un seul décodage laisse des entités visibles comme <, l'entrée était doublement encodée — décodez à nouveau pour récupérer l'original, puis corrigez le pipeline en amont pour que le texte soit échappé exactement une fois. Ne bouclez pas aveuglément ; comprenez pourquoi la couche supplémentaire existe.

Servir le résultat en UTF-8

Décoder des références numériques produit de vrais caractères Unicode — accents, symboles, émojis. Assurez-vous que la page, le fichier ou le champ qui reçoit le texte décodé est en UTF-8, sinon ces caractères récupérés s'afficheront en mojibake.

Préférer une bibliothèque éprouvée dans le code applicatif

Pour des conversions ponctuelles, cet outil est idéal ; en production, décodez avec une bibliothèque éprouvée (he sous Node, l'analyseur du navigateur via un textarea détaché) plutôt qu'avec une regex maison, qui rate régulièrement les références numériques, les caractères astraux et les entités héritées.

Questions fréquentes