Comprendre le Base64 : Fonctionnement, Utilité et Exemples Pratiques

Que ce soit lors de l'analyse d'un jeton JWT, de l'intégration d'une image directement dans un fichier CSS ou de la configuration d'une authentification HTTP basique, vous avez forcément rencontré le Base64. Bien qu'omniprésent dans le développement web moderne, son fonctionnement interne et sa raison d'être restent parfois flous. Ce guide décortique pour vous les principes fondamentaux du Base64.

Le problème résolu par le Base64

Les données binaires (images, fichiers audio, PDF ou clés cryptographiques) sont composées de valeurs d'octets arbitraires. Certains de ces octets correspondent à des caractères de contrôle non imprimables (comme les retours chariot ou les caractères nuls) qui peuvent corrompre les protocoles textuels anciens.

De nombreux protocoles comme le SMTP (email) ou le HTTP/1.1 ont été conçus pour ne transporter que du texte ASCII imprimable. Le Base64 résout ce problème en convertissant n'importe quelle donnée binaire en une chaîne de 64 caractères ASCII "sûrs", garantissant ainsi que les données traversent les réseaux sans être altérées.

Comment fonctionne l'encodage Base64 ?

Le Base64 s'appuie sur un alphabet de 64 caractères : les lettres majuscules A–Z, les minuscules a–z, les chiffres 0–9, et deux caractères spéciaux + et /. Le symbole = est utilisé pour le remplissage (padding).

Le processus de transformation suit trois étapes clés :

1. Groupement par triplets : On prend les octets d'entrée par groupes de trois (soit 24 bits au total).
2. Division en blocs de 6 bits : On divise ces 24 bits en quatre segments de 6 bits chacun (chaque segment ayant une valeur comprise entre 0 et 63).
3. Correspondance alphabétique : Chaque valeur de 6 bits est associée à son caractère correspondant dans l'alphabet Base64 (0 = A, 1 = B, etc.).

Entrée : M      a      n
ASCII : 77     97     110
Binaire : 01001101 01100001 01101110

Découpage en blocs de 6 bits :
010011 010110 000101 101110

Index Base64 :
19=T  22=W  5=F  46=u

Résultat : TWFu

Il est important de noter que chaque groupe de 3 octets en entrée produit systématiquement 4 caractères en sortie, ce qui augmente la taille des données d'environ 33 %.

Le rôle du caractère de remplissage (=)

Puisque le Base64 travaille par blocs de 3 octets, que se passe-t-il si votre donnée source ne fait pas un multiple de 3 ? C'est là qu'intervient le "padding" :

• S'il reste 1 octet après le dernier triplet, on ajoute deux caractères == à la fin.
• S'il reste 2 octets, on ajoute un seul caractère =.

Ces symboles ne contiennent aucune information ; ils servent simplement à indiquer au décodeur la structure du message d'origine.

Où utilise-t-on le Base64 concrètement ?

• Data URIs — Pour inclure des images directement dans le code HTML ou CSS afin de réduire le nombre de requêtes HTTP : <img src="data:image/png;base64,...">.
• JSON Web Tokens (JWT) — Les entêtes et payloads des JWT sont encodés en Base64URL (une variante qui utilise - et _ au lieu de + et / pour être compatible avec les URLs).
• Authentification HTTP Basic — Les identifiants sont envoyés sous la forme Authorization: Basic <base64(utilisateur:motdepasse)>.
• Pièces jointes d'emails (MIME) — Le protocole SMTP étant textuel, les fichiers joints sont encodés en Base64 pour être intégrés au corps du message.
• Stockage binaire en JSON — Comme le format JSON ne supporte pas nativement les types binaires, on encode souvent les miniatures d'images ou les clés chiffrées en Base64.
• Certificats SSL/TLS — Les fichiers PEM utilisent le Base64 pour représenter les données binaires des certificats entre des balises textuelles.

Attention : Le Base64 n'est PAS du chiffrement

C'est une confusion fréquente mais dangereuse : le Base64 est un encodage, pas un mécanisme de sécurité. Il n'offre aucune confidentialité. N'importe qui peut décoder une chaîne Base64 en un clic. La sécurité d'un JWT, par exemple, repose sur sa signature numérique, pas sur l'encodage de ses données.

N'utilisez jamais le Base64 pour "cacher" des mots de passe ou des données sensibles. Pour cela, utilisez de vrais algorithmes de chiffrement (AES, RSA) et des protocoles sécurisés (HTTPS).

Utiliser le Base64 en PHP et JavaScript

// Encoder une chaîne
$encode = base64_encode('Bonjour le monde !');
// → Qm9uam91ciBsZSBtb25kZSAh

// Décoder une chaîne
$decode = base64_decode('Qm9uam91ciBsZSBtb25kZSAh');
// → Bonjour le monde !

// Version sécurisée pour les URLs
$urlSafe = rtrim(strtr(base64_encode($data), '+/', '-_'), '=');

// Encoder une chaîne en Base64
const encoded = btoa('Hello World');
// → SGVsbG8gV29ybGQ=

// Décoder du Base64
const decoded = atob('SGVsbG8gV29ybGQ=');
// → Hello World

// Note : btoa/atob gèrent l'ASCII. Pour l'Unicode (accents),
// il faut d'abord passer par un encodage UTF-8 :
const utf8Encoded = btoa(unescape(encodeURIComponent('Hélo')));