Visionneuse HTML

Mode d’emploi

1. Ouvrez un fichier ou collez du code. Déposez un fichier .html, .htm, .xhtml ou .svg sur la page, choisissez-en un sur votre appareil ou collez du HTML dans la zone de texte. Les fichiers peuvent atteindre 5 Mo.
2. Regardez l’aperçu. La page s’affiche dans un cadre isolé. Choisissez téléphone, tablette ou pleine largeur pour voir comment elle se comporte selon la largeur d’écran.
3. Consultez le panneau Infos. Vous y trouvez la taille, le nombre de lignes, le titre, le type de document, le jeu de caractères, la langue, le nombre de scripts, feuilles de style, images, liens et formulaires, et les domaines externes que le fichier contacterait.
4. N’activez les options qu’en cas de besoin. Si la page paraît sans mise en forme ou vide, essayez « Charger les ressources externes » ou « Exécuter les scripts ». Les deux restent confinés dans le bac à sable, mais laissez-les désactivés pour les fichiers dont vous n’êtes pas sûr.

Comment fonctionne l’aperçu

Un fichier HTML n’est que du texte que le navigateur transforme en page. Un double-clic l’ouvre dans votre navigateur avec tous les droits : il peut exécuter des scripts et charger n’importe quoi depuis Internet. Cette visionneuse ouvre le même code dans un cadre restreint, pour que vous puissiez d’abord y jeter un œil.

• Cadre isolé. L’aperçu est un iframe doté de l’attribut sandbox et sans allow-same-origin. Le fichier est traité comme venant d’une origine inconnue et ne peut lire ni les données ni les cookies de ce site.
• Politique de sécurité du contenu. Par défaut, une règle Content-Security-Policy est insérée en tête du document. Elle bloque les scripts et tout ce qui serait récupéré sur d’autres sites : images, polices et feuilles de style venant d’Internet ne sont pas chargées. Les images intégrées en data: et le CSS placé dans une balise <style> fonctionnent normalement.
• Aucun envoi. Le fichier est lu dans votre navigateur grâce à l’interface File. Il n’est envoyé à aucun serveur et, avec les réglages par défaut, son ouverture ne déclenche aucune requête vers des tiers.
• Formulaires et navigation. Les formulaires ne peuvent pas être envoyés depuis l’aperçu, et les requêtes réseau des scripts (fetch, XHR) restent bloquées même quand les scripts sont activés.

Comme les ressources externes sont bloquées, une page web enregistrée peut paraître plus dépouillée ici que dans un navigateur ordinaire. C’est normal, et même utile : vous voyez ce que le fichier contient par lui-même.

Le panneau Infos est calculé à partir du texte source par recherche de motifs, et non par un analyseur HTML complet. Considérez les chiffres comme un résumé rapide : les commentaires et le contenu des blocs de script et de style sont ignorés dans le comptage des balises.

Les deux options et ce qu’elles changent

Deux interrupteurs déterminent ce que la page affichée a le droit de faire. Tous deux sont désactivés par défaut. Quel que soit votre choix, le cadre reste isolé et n’a jamais accès à ce site.

Même avec les scripts activés, les requêtes faites par les scripts (fetch, XHR) restent bloquées et les formulaires ne peuvent pas être envoyés. En revanche, charger les ressources externes déclenche de vraies requêtes vers d’autres serveurs.

À quoi elle sert

Quel niveau de sécurité, et ce qu’elle ne fait pas

Afficher ici un fichier suspect avec les réglages par défaut est plus sûr que de l’ouvrir d’un double-clic, car rien ne s’exécute et rien n’est téléchargé. Les protections en jeu sont le bac à sable du navigateur et la politique de sécurité du contenu, les mêmes mécanismes que les navigateurs appliquent à tout cadre intégré.

Cela reste une visionneuse, pas un produit de sécurité.

• Ce n’est pas un antivirus. Elle ne recherche pas de logiciels malveillants, ne reconnaît pas les menaces connues et ne dit pas si un fichier est sûr ou dangereux.
• Une page peut quand même vous tromper. Un faux formulaire de connexion a l’air vrai même s’il ne peut rien envoyer. Ne saisissez jamais de mot de passe, de numéro de carte ou de code dans une page ouverte depuis une pièce jointe.
• Les liens. Ne cliquez pas sur les liens d’un aperçu douteux. Si une page vous demande de télécharger ou d’installer quelque chose, ne le faites pas.
• Les options changent le risque. Charger les ressources externes contacte des serveurs tiers ; exécuter les scripts fait tourner le code du fichier dans le bac à sable.
• Les comptages sont approximatifs. Le panneau Infos résume le texte du fichier et peut manquer des éléments construits par des scripts à l’exécution.

En France, le dispositif national Cybermalveillance.gouv.fr recommande face à l’hameçonnage de ne pas cliquer sur les liens ou pièces jointes suspects, de contacter l’organisme concerné par ses coordonnées habituelles, de conserver les preuves et de changer vos mots de passe si vous les avez saisis. Vous pouvez signaler un e-mail douteux à Signal Spam, un SMS au 33700 et un site frauduleux à Phishing Initiative.

Pour les fichiers dont vous ne pouvez vraiment pas être sûr, le plus prudent est de ne pas les ouvrir du tout, ou de vérifier auprès de l’expéditeur par un autre canal. Gardez votre système et votre navigateur à jour. Conseils de Cybermalveillance.gouv.fr (fiche « Hameçonnage », mise à jour du 07/05/2026) vérifiés le 22/10/2026.

Lire le panneau Infos

Le panneau est une liste de contrôle qui se lit en quelques secondes. Il indique la taille en octets et le nombre de lignes, puis :

• Titre, type de document, doctype. Le document est une page HTML complète, une image SVG ou un fragment. Une page sans doctype peut être affichée par les navigateurs en mode de compatibilité (« quirks mode »).
• Jeu de caractères et langue. Si le fichier ne déclare pas de jeu de caractères, les lettres accentuées peuvent s’afficher de travers. L’attribut lang aide les lecteurs d’écran et la traduction.
• Éléments. Le nombre de balises trouvées dans le code.
• Scripts et feuilles de style. Nombre d’éléments intégrés et externes. Les scripts externes sont le moyen habituel pour une page d’importer du code depuis d’autres sites.
• Images, liens, formulaires, iframes. Des signaux rapides : un formulaire dans une page inattendue ou un iframe qui pointe ailleurs méritent votre attention.
• Domaines externes. Les serveurs cités dans src, href, srcset, url(...) et @import. Une courte liste de domaines connus est normale pour une page web enregistrée ; beaucoup de domaines inconnus méritent un examen plus attentif.

Pour travailler sur les dates ou les durées d’un rapport exporté, utilisez le calcul entre deux dates.

Questions fréquentes