.HTA — HTML Application

HTA signifie HTML Trusted Application. C'est un format propriétaire Microsoft qui transforme une page HTML ordinaire en une application de bureau Windows à part entière — avec une fenêtre propre, un accès complet au système de fichiers, au registre Windows et à tous les objets COM.

Techniquement, un .hta est identique à un fichier HTML — même syntaxe, même CSS, même JavaScript — à une différence fondamentale : il est exécuté par mshta.exe au lieu d'un navigateur, ce qui supprime toute restriction de sécurité et donne accès aux composants Windows natifs via ActiveX.

Le runtime : mshta.exe

mshta.exe est présent sur toutes les versions de Windows depuis Windows 2000, dans C:\Windows\System32\mshta.exe. Il instancie le moteur MSHTML dans une fenêtre applicative dédiée sans chrome de navigateur.

# Lancement automatique (association de fichier Windows)
MonApp.hta

# Lancement explicite via le runtime
mshta.exe "C:\MonApp\MonApp.hta"

# Depuis un partage réseau (intranet entreprise)
mshta.exe "\\serveur\partage\outil.hta"

Le format HTA est né dans l'ère où Microsoft cherchait à positionner Internet Explorer non pas comme un simple navigateur, mais comme la couche d'interface universelle de Windows.

Un fichier HTA est un fichier texte (UTF-8 ou ANSI) avec l'extension .hta. Sa structure est celle d'une page HTML classique, augmentée de la balise propriétaire <hta:application> dans le <head>.

<html>
<head>
  <title>Mon Application</title>

  <!-- Balise qui transforme le HTML en HTA -->
  <hta:application
    id="monApp"
    applicationname="MonApp"
    border="thin"
    caption="yes"
    showintaskbar="yes"
    singleinstance="yes"
    windowstate="normal"
  />

  <!-- Force le mode de rendu IE le plus récent disponible -->
  <meta http-equiv="x-ua-compatible" content="IE=edge"/>
  <meta charset="utf-8"/>

  <style>
    body { font-family: Segoe UI, Arial; background: #1a1a2e; }
  </style>

  <!-- VBScript : tâches système bas niveau -->
  <script language="VBScript">
    Function ScriptDir()
      Dim p
      p = document.location.pathname
      p = Replace(p, "/", "\")
      If Left(p, 1) = "\" Then p = Mid(p, 2)
      ScriptDir = Left(p, InStrRev(p, "\") - 1)
    End Function
  </script>

  <!-- JavaScript ES5 : logique applicative et DOM -->
  <script>
    var shell = new ActiveXObject("WScript.Shell");
    var fso   = new ActiveXObject("Scripting.FileSystemObject");

    function ouvrirNotepad() {
      shell.Run("notepad.exe");
    }
  </script>

</head>
<body>
  <button onclick="ouvrirNotepad()">Ouvrir Notepad</button>
</body>
</html>

C'est la balise qui différencie un HTA d'un HTML ordinaire. Placée dans le <head>, elle n'est interprétée que par mshta.exe — les navigateurs l'ignorent.

Le cœur de la puissance HTA : l'accès à des objets COM Windows hors bac à sable, impossibles à utiliser depuis un navigateur.

Deux langages simultanés

Le modèle de sécurité d'un HTA est radicalement différent d'une page web. Il s'agit du niveau de confiance le plus élevé disponible sous Windows pour une application non signée.

Confiance totale (Full Trust)

Un HTA tourne dans la zone "Poste de travail local" d'Internet Explorer — la zone de confiance maximale. Aucun bac à sable, aucune politique Same-Origin. Il peut :

// Lancer n'importe quel programme Windows
shell.Run("cmd.exe /c del C:\\fichiers_critiques");

// Lire/écrire N'IMPORTE quel fichier sur le disque
var f = fso.OpenTextFile("C:\\Users\\Bob\\Documents\\passwords.txt", 1);

// Modifier le registre Windows (démarrage automatique)
shell.RegWrite(
  "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\MonApp",
  "C:\\chemin\\MonApp.hta"
);

// Requête réseau sans restriction d'origine
var xhr = new ActiveXObject("Microsoft.XMLHTTP");
xhr.open("POST", "https://n-importe-quel-serveur.com", false);

Le moteur de rendu d'un HTA est MSHTML (moteur Trident), identique à Internet Explorer. Sa version effective dépend de la directive x-ua-compatible.

L'incompatibilité des HTA avec tout device non-Windows est architecturale et fondamentale — ce n'est pas un manque de port, c'est une impossibilité technique.

Smartphones (iOS & Android)

iOS et Android n'embarquent pas mshta.exe, ne disposent pas du moteur MSHTML, et n'ont aucune implémentation des objets COM Windows (ActiveXObject n'existe pas). Il n'existe aucune application capable de combler ce fossé.

macOS & Linux

Wine peut théoriquement faire tourner mshta.exe, mais les objets COM (WScript.Shell, FileSystemObject) ne fonctionnent pas correctement car les appels système Windows ne se traduisent pas vers POSIX. Les HTA non triviaux ne fonctionnent pas sous Wine.

Navigateurs web

Chrome, Firefox, Edge et Safari refusent d'exécuter les HTA. Si un .hta est ouvert dans un navigateur, il est rendu comme du HTML ordinaire et tous les appels à ActiveXObject lèvent immédiatement une ReferenceError.

Pour un outil similaire fonctionnant sur plusieurs plateformes ou sur mobile :