CSV — fichier .csv

Le CSV (Comma-Separated Values), normalisé a posteriori par la RFC 4180 en 2005 après des décennies d’usage informel, représente des données tabulaires en texte brut : une ligne par enregistrement, des valeurs séparées par une virgule (ou, en France et dans d’autres locales, souvent un point-virgule pour éviter le conflit avec la virgule décimale).

C’est un format texte sans aucune structure d’en-tête : il n’a pas de signature binaire, contrairement à ce que pourrait laisser croire son statut de format “standard”. Rien dans ses premiers octets ne le distingue d’un fichier texte brut ordinaire — seule l’analyse de son contenu (présence de séparateurs cohérents sur plusieurs lignes) permet une identification, imparfaite, de sa nature CSV.

Sa simplicité en fait le format d’échange de données tabulaires le plus universellement accepté, y compris par des systèmes qui n’implémentent aucune autre norme de fichier, mais aussi une source classique d’incompatibilités liées au séparateur, à l’encodage de caractères ou au format des nombres décimaux selon la locale d’origine.

La RFC 4180 prévoit l’usage de guillemets pour échapper une valeur contenant elle-même un séparateur ou un saut de ligne, mais de nombreux fichiers CSV produits par des outils plus anciens ou mal implémentés ne respectent pas rigoureusement cette convention, ce qui reste une cause fréquente d’erreurs de parsing lors de l’import dans un tableur ou un script.

Un CSV peut aussi servir de vecteur d’attaque via l’“injection de formule” : une cellule commençant par un signe =, +, - ou @ peut être interprétée comme une formule exécutable par le tableur qui l’ouvre, un risque documenté qui concerne tout fichier CSV généré à partir de données saisies par un tiers non fiable.