URL : Uniform Resource Locator
Réseau
URL : Uniform Resource Locator. « Localisateur uniforme de ressource », par analogie avec une adresse postale complète, du pays jusqu'au numéro de boîte aux lettres.
Anatomie : Une URL enchaîne un schéma (https, ftp), une autorité (hôte et port éventuel, parfois précédés d'identifiants), un chemin, une requête après le point d'interrogation et un fragment après le dièse. Le fragment reste côté navigateur et n'est pas envoyé au serveur.
Analyseurs en désaccord : Deux bibliothèques peuvent découper la même URL différemment, notamment avec des arobases, des barres obliques inverses ou des encodages exotiques. Un filtre qui valide une chose et un client qui en contacte une autre : voilà le terreau des SSRF et des redirections ouvertes.
L'œil trompé : Un domaine qui ressemble à un autre, un sous-domaine trompeur ou un identifiant glissé avant l'arobase suffisent à égarer le lecteur. L'humanité a mis des millénaires à apprendre à lire, et quelques années à cliquer sans lire.
Encodage : Les caractères réservés sont encodés en pourcentage ; décoder deux fois, ou pas au même endroit de la chaîne de traitement, ouvre des contournements de filtres.
Ce qui arrive si on s'en passe
Laisser deux composants analyser la même URL chacun à sa manière, c'est offrir le terrain des SSRF et des redirections ouvertes : le filtre valide un hôte autorisé, le client HTTP en contacte un autre, caché derrière une arobase ou une barre oblique inverse. Décoder deux fois, ou pas au même endroit de la chaîne, contourne de même les filtres qui cherchaient la forme lisible. Côté utilisateur, un domaine ressemblant ou un identifiant glissé avant l'arobase suffit à mener vers un site d'hameçonnage. L'adresse est complète, précise et normalisée ; c'est le lecteur qui l'est rarement.
Explication de la marmotte
Une adresse web, celle qu'on tape en haut du navigateur, indique précisément où trouver une page sur Internet. Elle se lit comme une adresse postale : d'abord la façon de s'y rendre, puis le nom du site, puis le chemin vers la bonne page, parfois suivi de précisions comme un mot recherché. Chaque partie a sa place et son rôle. Il faut toutefois la lire attentivement : un faux site peut choisir un nom presque identique à un vrai, avec une lettre changée, pour tromper un regard trop rapide.
Où ce terme est utilisé
- Cross-site scripting (XSS) : mécanisme, variantes et défenses (9 occurrences)
- Attaque cache deception CDN et contre-mesures (8 occurrences)
- Comment prévenir une attaque Host header injection (8 occurrences)
- AI Act : enregistrement dans la base de données de l'UE (articles 49 et 71) (6 occurrences)
- Comment bloquer un webhook forgé sans signature vérifiée (6 occurrences)
- Exfiltration par rendu Markdown dans un chat IA (6 occurrences)
- Comment lire un rapport OWASP Top 10 (5 occurrences)
- Quel rôle joue l’INCIBE espagnol en cybersécurité (5 occurrences)
- SSRF vers IMDS et vol d’identifiants IAM (5 occurrences)
- Comment bloquer les requêtes côté serveur et la désérialisation (4 occurrences)