XML — fichier .xml

Le XML (Extensible Markup Language), normalisé par le W3C en 1998, décrit des données hiérarchiques au moyen de balises ouvrantes et fermantes définies librement par chaque usage. Il sert de fondation à de nombreux formats plus spécialisés : SVG, RSS, le contenu interne d’un DOCX ou d’un ODT, et d’innombrables formats de configuration ou d’échange métier.

Comme le JSON, c’est un format texte sans signature binaire fixe. La déclaration <?xml version="1.0" encoding="UTF-8"?> en tête de fichier, bien que très répandue, est explicitement facultative selon la spécification : un document XML valide peut commencer directement par sa balise racine. Aucune séquence d’octets ne garantit donc, à elle seule, qu’un fichier est du XML.

Le type MIME recommandé aujourd’hui est application/xml (RFC 7303), l’ancien text/xml restant toléré et encore largement utilisé par des systèmes plus anciens.

Contrairement au JSON, le XML permet de définir un schéma formel (DTD ou XML Schema) contre lequel un document peut être validé automatiquement, une rigueur qui explique sa prédominance historique dans les échanges de données inter-entreprises où la conformité stricte à un format convenu importe particulièrement.

Sa verbosité relative — chaque balise doit être explicitement fermée, contrairement à la syntaxe plus compacte du JSON — a contribué au recul du XML face au JSON dans les API web modernes, sans pour autant remettre en cause son rôle central dans les formats de document hérités (Office Open XML, OpenDocument) qui continuent d’en dépendre entièrement.

La possibilité de définir des “entités externes” dans un DTD a donné lieu à une classe de vulnérabilité bien documentée, l’injection XXE (XML External Entity) : un analyseur XML mal configuré qui résout ces entités peut être détourné pour lire des fichiers arbitraires sur le serveur ou effectuer des requêtes réseau non prévues, ce qui a conduit la plupart des bibliothèques XML modernes à désactiver cette résolution par défaut.