Summary

  • En 1999, Microsoft décrivait une faille dans le traitement des icônes fournies par les sites aux favoris d’Internet Explorer 5 sous Windows 95 et 98 ; un correctif fut publié sans dommage client connu.
  • Le W3C préférait en 2005 une icône annoncée par la page. La norme HTML actuelle conserve une recherche possible à /favicon.ico, et une note d’Edge de 2026 montre qu’un cache commun à l’hôte peut attribuer à une page l’icône d’une autre.

L’icône de favori ressemble à un détail décoratif. Pourtant, dès Internet Explorer 5, le site pouvait fournir l’image qui accompagnait son entrée dans les favoris. Le bulletin publié par Microsoft le 27 mai 1999 révélait que cette image entrait dans un traitement dangereux : une icône mal formée pouvait dépasser un tampon et permettre l’exécution de code sur IE 5 sous Windows 95 ou 98. Microsoft annonçait un correctif et ne signalait aucun client touché. Le minuscule portrait du site exigeait déjà une frontière de sécurité.

Quelques années plus tard, une autre question occupait les architectes du Web. Où ranger le portrait ? Le réflexe consistait à réserver une adresse à la racine du site, où le navigateur viendrait chercher l’icône sans invitation. Dans son projet de guide de 2005, le W3C jugeait ce raccourci encombrant : le propriétaire d’un domaine doit pouvoir gérer ses adresses, et l’auteur d’une page hébergée sous le domaine d’autrui n’a souvent aucun accès à la racine. Lui demander d’y déposer un badge revient à exiger les clés de l’immeuble pour accrocher une plaque à sa chambre.

Le guide proposait d’inscrire link rel="icon" dans la page et d’indiquer directement l’image voulue. Ce document était un projet, et il parlait d’un chemin /favicon ; la norme HTML actuelle décrit la recherche de /favicon.ico. Le désaccord de fond porte sur la décision : une image explicitement nommée par la page reflète le choix de son auteur, tandis qu’une adresse supposée commune risque d’écraser les particularités d’un site partagé.

La norme HTML vivante ménage les deux usages. Une icône peut représenter une page ou un site. Plusieurs images déclarées peuvent être départagées selon leur type, leur média et leur taille. En l’absence de lien icon sur un document HTTP(S), le navigateur peut essayer /favicon.ico. L’ancien shortcut icon a même gardé une place pour des raisons historiques. Le Web a ajouté une vraie déclaration tout en laissant le vieux tiroir à sa place.

Ce tiroir peut toutefois fournir une mauvaise pièce. La note d’Edge mise à jour en mars 2026 explique l’ordre utilisé pour les sites enregistrés sur la page de nouvel onglet : cache de l’URL exacte, cache de l’hôte, service d’icônes, puis lettre initiale. Microsoft imagine un même hôte servant des pages HTML et un PDF. Si l’entrée précise manque, le cache de l’hôte peut présenter l’icône du PDF à la place de celle de la page d’accueil. Le navigateur a trouvé un voisin ; l’œil y voit une identité.

Entre la faille de 1999 et la confusion de 2026, le risque a changé de taille et de nature. La question demeure : quelle preuve rattache ce badge à cette page ? Une déclaration dans le document, une habitude à la racine et une réutilisation en cache racontent trois histoires différentes. Leur dessin tient dans quelques pixels ; leurs décisions, beaucoup moins.