YAML — fichier .yaml

Le YAML (“YAML Ain’t Markup Language”) privilégie une syntaxe minimaliste basée sur l’indentation plutôt que sur des balises ou des accolades, ce qui le rend particulièrement lisible pour de la configuration écrite à la main : fichiers de déploiement, pipelines d’intégration continue, configuration d’applications.

Comme le JSON et le XML, c’est un format texte sans signature binaire. La convention --- en début de document, qui marque le début d’un flux YAML, n’est ni obligatoire ni suffisante pour l’identifier avec certitude.

Son type MIME officiel application/yaml n’a été enregistré qu’en février 2024 par la RFC 9512 — pendant près de vingt-cinq ans d’existence, le format s’est appuyé sur des types non officiels (text/yaml, application/x-yaml) que de nombreux outils continuent d’utiliser par habitude ou compatibilité ascendante.

Le YAML est en réalité un sur-ensemble strict du JSON : tout document JSON valide est aussi un document YAML valide, ce qui permet à un parseur YAML de lire indifféremment les deux syntaxes sans traitement particulier.

Son indentation significative, si elle améliore la lisibilité, est aussi une source d’erreurs bien documentée : mélanger tabulations et espaces, ou décaler d’un seul espace un bloc imbriqué, produit une structure différente sans qu’aucune erreur de syntaxe explicite ne soit levée — un piège classique de configuration en environnement de production.

Certaines bibliothèques de lecture YAML, comme PyYAML en Python, ont longtemps exposé une fonction de chargement par défaut capable d’instancier n’importe quel objet du langage décrit dans le fichier, ce qui pouvait permettre l’exécution de code arbitraire à partir d’un fichier YAML malveillant ; les bonnes pratiques actuelles recommandent systématiquement une fonction de chargement restreinte (“safe load”) pour tout fichier dont la provenance n’est pas totalement fiable.