Base64 est un encodage, pas un chiffrement — cinq mythes à abandonner

Base64 apparaît dans les pièces jointes, les data URIs, les en-têtes HTTP et les JWT — et c'est le format le plus mal compris du web. Cinq mythes, corrigés.

Mythe 1 : ça cache les données

Base64 est un encodage réversible, pas un chiffrement. Aucune clé ; n'importe qui décode en microsecondes. Une chaîne en Base64 doit être traitée comme du texte clair.

Mythe 2 : ça compresse

L'inverse : 3 octets deviennent 4 caractères — environ 33 % de plus. Son vrai rôle : transformer du binaire en caractères imprimables pour les canaux texte.

Mythe 3 : le = est décoratif

Le remplissage marque la fin d'un groupe. Un padding cassé ou manquant est la première cause d'erreurs de décodage.

Mythe 4 : c'est URL-safe par défaut

Le Base64 standard utilise + et /, qui cassent dans les URLs et noms de fichiers. Le jumeau URL-safe les remplace par - et _.

Mythe 5 : bon pour les mots de passe

Encoder un mot de passe en Base64 n'ajoute aucune sécurité. Hasher avec un vrai algorithme (bcrypt/argon2).

Envie de savoir ce que contient vraiment une chaîne ? Décodez ou encodez du Base64 dans votre navigateur — rien ne quitte votre appareil.