Un bandeau de consentement RGPD ajoute souvent ses propres paramètres à l'URL avant même que la page ne s'affiche — décomposer le lien permet de voir exactement quelles préférences de traçage ont été transmises, sans deviner.
Les parties d'une URL
- Schéma —
https://, définit la méthode de connexion à la ressource. - Hôte —
exemple.fr, le nom de domaine du serveur. - Port — facultatif, par défaut 443 pour HTTPS et 80 pour HTTP.
- Chemin —
/évènements/été-2024, peut contenir des accents. - Chaîne de requête — après
?, souvent des paramètresutm_sourceou de consentement cookies. - Fragment — après
#, traité uniquement par le navigateur.
Pourquoi un accent transforme le chemin en suite de pourcentages
Les caractères accentués (é, è, à, ç) ne font pas partie du jeu de caractères sûr pour une URL : chacun est d'abord encodé en plusieurs octets UTF-8, puis chaque octet devient une séquence comme %C3%A9. Un chemin comme /été peut ainsi devenir /%C3%A9t%C3%A9 dans les journaux du serveur — ce qui rend un lien copié à la main bien plus long et illisible qu'il n'y paraît.
Les paramètres de consentement cachés dans la chaîne de requête
Depuis le RGPD, il est fréquent qu'un lien de campagne marketing embarque à la fois un identifiant de suivi classique (utm_campaign) et un paramètre de consentement ajouté par la bannière cookies elle-même. Décomposer l'URL permet de distinguer clairement ce qui vient du lien d'origine de ce que le site a ajouté après coup — utile pour auditer un tunnel de conversion ou vérifier qu'un lien ne fuit pas de données personnelles dans le chemin ou la requête.
Pourquoi décomposer une URL
- Vérifier quel paramètre de campagne (
utm_source,utm_medium) est réellement arrivé depuis une publicité. - Comprendre pourquoi un accent dans le chemin casse un lien copié à la main.
- Construire une URL correcte de manière programmatique, sans erreur d'encodage.
L'astuce de phishing avec userinfo
Une URL comme https://accounts.google.com@evil.com/ semble mener à accounts.google.com, mais en réalité le navigateur ouvrira evil.com — la partie avant le @ n'est qu'un nom d'utilisateur (userinfo), pas l'hôte. C'est pourquoi les navigateurs modernes mettent en évidence le véritable hôte, et certains raccourcisseurs de liens interdisent carrément userinfo.