Est-ce que ce que je colle dans un décodeur base64 quitte mon navigateur ?

C’est la bonne question à se poser avant de coller, car le base64 n’est pas du chiffrement. Quiconque détient la valeur encodée peut la lire, et ce que les gens décodent, ce sont couramment des jetons, des clés d’API, des cookies de session et des configurations contenant des mots de passe. Coller cela dans une page web est une divulgation si la page l’envoie quelque part.

Beaucoup de décodeurs en ligne l’envoient. La page recueille votre saisie, la transmet à un serveur et affiche ce qui revient. C’est la façon directe de construire la chose, elle est invisible de l’extérieur, et une politique de confidentialité affirmant que les données ne sont pas conservées est une promesse sur ce qui se passe après leur arrivée — pas une raison pour laquelle elles ne seraient jamais arrivées.

Vous n’avez à croire personne. Ouvrez les outils de développement de votre navigateur, allez dans l’onglet réseau, videz-le, puis décodez quelque chose. Si l’outil fonctionne dans votre navigateur, rien de nouveau n’apparaît. S’il téléverse, vous verrez la requête et pourrez lire exactement ce qu’elle contenait. Cela marche sur n’importe quel site, prend une dizaine de secondes, et c’est la seule réponse qui ne dépende pas de la confiance faite à l’exploitant.

Cet outil fonctionne entièrement dans votre navigateur, et c’est une propriété de sa construction, non une règle qu’il respecte. Le site est un ensemble de fichiers statiques : il n’y a aucun serveur applicatif derrière, donc aucun point ne pourrait recevoir une charge, même si le code essayait. La conversion a lieu après le chargement de la page, sur votre machine, sans rien en retour.

Ce que voit tout serveur web, c’est la requête de la page elle-même ; c’est ainsi que le web fonctionne et aucun outil n’y échappe. Ici, l’adresse du visiteur est raccourcie avant d’être écrite dans le journal, et la notice de confidentialité précise ce qui est conservé et pour combien de temps.

Un conseil qui vaut de toute façon : pour un secret qui compte vraiment, préférez quelque chose qui ne touche aucun navigateur. Sous Linux et macOS, base64 --decode lit depuis un tube ou un fichier et ne rend de comptes à personne.