La URL encoding è un modo per rappresentare caratteri speciali in un indirizzo web usando byte con escape percentuale, come %2F per / o %20 per uno spazio. Browser, proxy, filtri web e applicazioni la usano per spostare le richieste in modo sicuro sul web senza confondere i caratteri riservati con il testo normale.
Nella sicurezza informatica, la URL encoding è importante perché livelli diversi possono decodificare o normalizzare una richiesta in momenti diversi. Gli aggressori possono sfruttare questa differenza per nascondere percorsi, parametri o payload pericolosi a un WAF mentre l'applicazione backend continua a interpretarli. I difensori dovrebbero testare come proxy inversi, WAF e applicazioni gestiscono input codificati, normalizzare le richieste in modo coerente e registrare sia la forma grezza sia quella decodificata. La codifica non è di per sé dannosa, ma una decodifica incoerente può trasformarla in una comune tecnica di bypass.