Regex pour les URL : ce qu'il faut reconnaître et ce qu'il faut laisser à un analyseur

« Regex d'URL » désigne en général l'une de ces deux choses :

1. Trouver des URL dans un bloc de texte, comme une messagerie qui transforme les liens en éléments cliquables.
2. Valider une saisie unique, comme un champ « Site web » dans un formulaire de profil.

Il leur faut des motifs différents, et la seconde relève surtout d'un analyseur d'URL. Cet article couvre les deux, ainsi que les pièges propres à chacune. Tous les exemples sont interactifs : modifiez les motifs et observez ce qui change.

01Trouver des URL dans du texte

La version rapide : un schéma suivi de tout ce qui n'est pas un espace :

\S+ prend tout jusqu'à l'espace suivant, et dans un vrai texte, une URL est souvent suivie de ponctuation. Faites-en un lien, et le lecteur tombe sur une 404.

02Écarter la ponctuation finale

La solution consiste à dire ce que peut être le dernier caractère. Le corps peut contenir n'importe quoi sauf des espaces, des chevrons et des guillemets. Le dernier caractère ne peut pas non plus être une ponctuation courante :

Cela marche parce que le [^\s<>"]* gourmand court jusqu'au bout de l'URL, puis recule d'un caractère à la fois jusqu'à ce que la classe finale convienne. (Notre article sur les quantificateurs gourmands et paresseux détaille ce recul.)

Il n'existe pas de règle parfaite ici. Des liens Wikipédia comme https://en.wikipedia.org/wiki/Regex_(disambiguation) se terminent vraiment par ), et ce motif la retire. Les bibliothèques de détection de liens règlent ça en vérifiant si les parenthèses sont équilibrées, ce qui est plus de logique qu'une seule regex ne devrait en porter.

Remarquez que www.example.com n'est pas trouvé, faute de schéma. Si vous voulez aussi les liens www. sans schéma, commencez plutôt le motif par (https?://|www\.).

03Valider une URL : les parties

Une URL web compte jusqu'à six parties. Les voici dans https://regexhunter.com:443/blog/regex-urls?ref=home#top :

Partie	Exemple	Obligatoire ?
schéma	https	oui
hôte	regexhunter.com	oui
port	:443	non
chemin	/blog/regex-urls	non
requête	?ref=home	non
fragment	#top	non

Un motif qui vérifie la forme de chaque partie ressemble à ceci :

Lisez-le partie par partie :

1. ^(https?):// le schéma, http ou https, et le ://
2. ([^/:?#\s]+) l'hôte : tout jusqu'au prochain /, :, ? ou #
3. (:\d+)? un port facultatif, uniquement des chiffres
4. (/[^?#\s]*)? un chemin facultatif, qui commence par /
5. (\?[^#\s]*)? une requête facultative, qui commence par ?
6. (#\S*)?$ un fragment facultatif, puis la fin

C'est une bonne vérification de forme. Mais elle ne dit rien de la cohérence de l'hôte. https://999.999.999.999 passe, et https://- aussi. Vous pourriez continuer à ajouter des règles pour les noms d'hôte, les adresses IP, les crochets IPv6, les identifiants et mots de passe, et les noms de domaine internationalisés. Certains l'ont fait, et le résultat se compte en centaines de caractères.

04Laissez un analyseur faire l'analyse

Tous les langages courants fournissent un analyseur d'URL qui connaît déjà ces règles. En JavaScript (navigateurs et Node), le constructeur URL lève une exception sur tout ce qu'il ne sait pas analyser :

function isHttpUrl(s) {
  try {
    const u = new URL(s);
    return u.protocol === 'http:' || u.protocol === 'https:';
  } catch {
    return false;
  }
}

new URL("https://exa mple.com"), new URL("https://999.999.999.999") et new URL("example.com") lèvent tous une exception. La vérification du protocole compte : new URL("javascript:alert(1)") s'analyse sans problème, et vous ne voulez pas de ça dans un lien.

Vous obtenez aussi les morceaux gratuitement : u.hostname, u.port, u.pathname, u.search, u.hash, et u.searchParams.get("x") pour une valeur de la requête. Et l'URL revient normalisée : HTTPS://Example.COM:443/a/../b devient https://example.com/b.

En Python, urllib.parse.urlsplit découpe une URL en ces mêmes parties :

from urllib.parse import urlsplit

u = urlsplit("http://localhost:3000/api?x=1#top")
(u.scheme, u.hostname, u.port, u.path, u.query, u.fragment)
# ('http', 'localhost', 3000, '/api', 'x=1', 'top')

Mais urlsplit découpe, il ne valide pas. Il lève rarement une erreur. urlsplit("example.com") renvoie un schéma et un hôte vides, avec example.com comme chemin, et urlsplit("https://exa mple.com") annonce sans sourciller exa mple.com comme hôte. Vérifiez donc u.scheme in ("http", "https") et que u.netloc n'est pas vide, puis ajoutez vos propres règles sur l'hôte si besoin.

05Piège : le point non échappé

Dans un motif, . veut dire « n'importe quel caractère ». Oubliez la barre oblique inverse dans un nom de domaine, et vous autorisez des domaines sosies :

Écrivez www\.example\.com. Chaque point littéral d'un motif a besoin d'une barre oblique inverse.

06Piège : la fin manquante

Celui-ci compte pour les redirections et les listes d'autorisation, du genre « ne renvoyer les gens que vers des URL de notre propre site » :

L'hôte doit s'arrêter juste après .com. Exigez l'un des caractères qui peuvent le terminer, ou la fin de la chaîne :

Encore mieux pour les contrôles de sécurité : analysez avec new URL() ou urlsplit, puis comparez le nom d'hôte avec === ou ==. Une comparaison exacte de chaînes n'a aucun cas limite à oublier.

07À vous de jouer

Chaque monstre est une adresse web. Les innocents ont le mauvais schéma, un :// cassé, une faute de frappe, ou pas de schéma du tout :

08Récapitulatif

• Pour trouver des URL dans du texte : https?://[^\s<>"]*[^\s<>".,;:!?)], pour laisser la ponctuation finale dehors.
• Pour valider une URL : utilisez new URL() en JavaScript et vérifiez le protocole, ou urlsplit en Python et vérifiez le schéma et l'hôte.
• Échappez chaque point littéral : example\.com.
• Dans les listes d'autorisation, ancrez le début et la fin de l'hôte, ou mieux, comparez les noms d'hôte analysés.
• Ajoutez le marqueur i si des majuscules peuvent apparaître. HTTPS://EXAMPLE.COM est une URL valide.

09Continuez à vous entraîner

• Le parcours Validateurs du monde réel de l'Académie comprend des slugs d'URL, des e-mails, des adresses IP et bien plus.
• La section du guide sur l'échappement couvre les règles de la barre oblique inverse au cœur du piège du point.
• Essayez la chasse du jour, ou parcourez les plateaux passés dans les archives.