Que sont les caractères cachés et pourquoi s’en méfier ?
Unicode contient des centaines de caractères invisibles ou identiques à d’autres. Ils ont des usages légitimes, mais servent aussi à tromper :
- Caractères de largeur nulle (ex. ZWSP) : cassent un mot de passe ou un code copié, ou servent d’« empreinte » cachée pour identifier qui a fait fuiter un texte.
- Contrôles de direction (ex. RLO) : inversent l’affichage, si bien que
photo_gnp.exesemble finir par.png, ou qu’un code source paraît différent de la réalité (attaque « Trojan Source »). - Lettres sosies : le « а » cyrillique est identique au « a » latin, ce qui permet d’imiter un domaine réel.
- Caractères Tag : un texte entier invisible peut être caché dans un message, récemment utilisé pour glisser des instructions cachées aux outils d’IA.
- Espaces spéciaux comme l’espace insécable : souvent sans danger, mais gênants pour la recherche et les tableurs.
Mode d’emploi
- Collez le texte : les caractères cachés sont surlignés avec leur code (ex. U+200B).
- Consultez les compteurs et le verdict : orange = souvent bénin, rouge = motifs de tromperie.
- Cliquez sur « Nettoyer » pour supprimer les caractères cachés et normaliser les espaces, puis copiez le résultat.
Et l’arabe ou les émojis ?
Les écritures de droite à gauche utilisent parfois les marques RLM ou ALM pour bien afficher chiffres et parenthèses : une option permet de les garder. Les émojis composés (👨👩👧, drapeaux) reposent sur le ZWJ et les sélecteurs de variante ; l’outil les reconnaît et les laisse intacts.
Usages pratiques
- Nettoyer un texte copié d’un PDF ou de Word avant de le coller sur votre site.
- Inspecter un message suspect contenant un lien, puis analyser le lien avec le vérificateur de liens.
- Développeurs : vérifier du code copié sur Internet avant de l’exécuter.
L’analyse et le nettoyage se font dans votre navigateur ; rien n’est envoyé.