Codificar / Decodificar Base64
Convierte texto a Base64 y de vuelta al instante, sin que nada salga de tu navegador.
Con esta herramienta puedes codificar y decodificar Base64 en tiempo real. Escribe o pega en cualquiera de los dos cuadros: codifica una cadena para una cabecera HTTP o un data URI, o decodifica ese bloque Base64 que encontraste en un JWT, en el código fuente de un correo o en un archivo de configuración para ver qué dice realmente.
Como la conversión ocurre localmente en tu navegador, es seguro pegar cosas que jamás querrías en un servidor cualquiera: credenciales de Basic Auth, segmentos de JWT, payloads de API o cadenas de licencia. Nada se transmite, se guarda ni se registra. Ese es precisamente el sentido de hacerlo del lado del cliente.
Base64 es una codificación, no un cifrado. Existe para representar datos binarios usando solo caracteres ASCII seguros, y por eso lo ves en adjuntos de correo, data URIs y cabeceras HTTP. Cualquiera puede decodificarlo, así que nunca lo trates como una forma de ocultar secretos.
Cómo codificar o decodificar Base64
- Pega tu texto en el cuadro de entrada.
- Elige Codificar para convertir texto plano a Base64, o Decodificar para el camino inverso.
- El resultado aparece al instante mientras escribes.
- Si la decodificación falla, revisa si falta el relleno (=) o si hay caracteres que no son Base64 válido.
- Haz clic en Copiar para llevarte el resultado.
Dónde te encuentras Base64 en el trabajo real
El segmento central de un JWT es JSON codificado en Base64url, así que decodificarlo muestra los claims del token. Las cabeceras de Basic Auth son 'usuario:contraseña' en Base64. Los data URIs incrustan imágenes en CSS o HTML como Base64. Los secretos de Kubernetes, las respuestas SAML y los adjuntos de correo también lo usan.
Un detalle: el Base64 estándar usa + y /, mientras que la variante segura para URL que usan los JWT emplea - y _ en su lugar. Si un segmento de JWT no se deja decodificar, esa diferencia de caracteres (o el relleno recortado) suele ser la causa.
Codificar no es cifrar — lee esto primero
Esto es lo más importante que hay que entender sobre Base64: no aporta ninguna seguridad ni secreto en absoluto. Es un mapeo público y reversible entre datos binarios y 64 caracteres imprimibles. Cualquiera que vea tu cadena Base64 puede decodificarla en un solo paso, con esta misma herramienta, y leer el original completo. No hay clave, no hay contraseña, y no hay nada que romper.
Por eso Base64 es la elección equivocada para ocultar un secreto. Si un archivo de configuración guarda una contraseña 'codificada' en Base64, trata esa contraseña como texto plano. Para proteger datos de verdad necesitas cifrado real (para la confidencialidad) o hashing con un algoritmo fuerte como bcrypt o argon2 (para las contraseñas). Base64 solo hace que lo binario se pueda transportar como texto; nunca lo hace privado.
Cómo funciona la conversión en tu navegador
Codificar toma tu texto, lo convierte en sus bytes UTF-8, luego agrupa esos bytes en bloques de tres (24 bits) y los vuelve a dividir en cuatro trozos de 6 bits. Cada valor de 6 bits indexa en el alfabeto de 64 caracteres, por eso la salida Base64 siempre es múltiplo de cuatro caracteres, con signos = rellenando el último grupo cuando la longitud de entrada no es divisible entre tres.
Toda esa aritmética ocurre en JavaScript en tu propio dispositivo en el momento en que escribes. Nada se envía a ningún sitio, así que el resultado aparece al instante y la herramienta sigue funcionando sin conexión una vez cargada la página. Decodificar simplemente invierte el proceso: lee cuatro caracteres de vuelta a tres bytes y reinterpreta el flujo de bytes como texto UTF-8.
Privacidad al decodificar tokens y credenciales
Las cadenas que la gente más quiere decodificar son justo las que nunca debería pegar en una herramienta del lado del servidor: JWT, cabeceras de Basic Auth, cookies de sesión, payloads de webhooks firmados y secretos sacados de un manifiesto de Kubernetes. Como esos a menudo dan acceso a sistemas reales, subirlos para inspeccionarlos sería entregar credenciales en vivo.
Aquí la decodificación se ejecuta solo en tu navegador, así que un token que pegas para echar un vistazo a sus claims nunca sale de tu equipo ni se registra en ningún sitio. Cuando cierras la pestaña, desaparece. Dicho esto, la regla de oro sigue vigente: el hecho de que puedas decodificar un JWT en un segundo es precisamente por qué nunca debe confiarse en Base64 para mantener secreto ninguno de esos contenidos.
Base64 estándar frente a la variante segura para URL
Existen dos sabores. El Base64 estándar (RFC 4648) usa + y / como sus caracteres 62 y 63 y rellena con =. Esos caracteres tienen un significado especial dentro de URLs y nombres de archivo, así que una variante segura para URL cambia + por - y / por _, y a menudo elimina por completo el relleno final. Los JWT, muchas API y algunos esquemas de nombres de archivo usan esta forma segura para URL.
El desajuste es una fuente clásica de confusión. Un segmento de JWT copiado desde un navegador contendrá - y _ y ningún signo =; pásalo a un decodificador estándar estricto y puede que se atragante. Si una decodificación falla, comprobar si estás mirando el alfabeto seguro para URL, y si se recortó el relleno, resuelve la mayoría de los casos sin tocar los datos reales.
Manejo de Unicode, emojis y datos binarios
Base64 en sí solo sabe de bytes, no de caracteres, así que el texto tiene que convertirse primero en bytes. Esta herramienta usa UTF-8, lo que significa que las letras latinas con tilde, los alfabetos no latinos como el árabe o el chino, y los emojis hacen el viaje de ida y vuelta correctamente: se codifican en sus secuencias UTF-8 de varios bytes antes de la conversión y se reensamblan a la vuelta.
Ese diseño centrado en los bytes es también por qué Base64 puede representar cosas que no son texto en absoluto, como el contenido crudo de una imagen incrustada en un data URI. Cuando decodificas una cadena así verás bytes que no son caracteres imprimibles, lo cual es esperable: no todo bloque Base64 está pensado para leerse como texto, y una pantalla llena de galimatías suele significar que el original era binario, no que la decodificación fallara.
Herramientas relacionadas centradas en la privacidad
Base64 rara vez viaja solo. Un segmento de JWT decodificado es JSON, así que pégalo en el formateador de JSON para disponer los claims con claridad. Si un valor Base64 resulta contener una URL con caracteres escapados, el codificador y decodificador de URL la vuelve legible. Para la curiosidad a nivel de bits, el traductor binario muestra cómo se corresponden los caracteres con los bytes desde el principio.
Y cuando de verdad necesitas una huella de un solo sentido en lugar de una codificación reversible, el generador de hash calcula SHA-256 y digests relacionados. Todas ellas se ejecutan por completo en tu navegador de la misma forma, así que puedes encadenarlas sobre datos sensibles sin que nada se suba.
Preguntas frecuentes
¿Esta herramienta de Base64 es gratis?
Sí. Es gratuita, sin límites, sin cuenta y sin anuncios tapando el resultado. Codifica y decodifica tantas veces como necesites.
¿Es seguro decodificar tokens o credenciales aquí?
Sí. La codificación y la decodificación se ejecutan por completo en tu navegador con JavaScript. Tu entrada nunca llega a un servidor, así que los tokens y credenciales se quedan en tu dispositivo.
¿Base64 es un cifrado?
No. Base64 es una codificación de texto reversible, no un cifrado. Cualquiera puede decodificarlo en un segundo, incluida esta herramienta. Nunca lo uses para proteger contraseñas o secretos.
¿Por qué mi cadena Base64 no se decodifica?
Normalmente por una de tres razones: falta el relleno = al final, se colaron espacios o saltos de línea al pegar, o es la variante segura para URL que usa - y _ en lugar de + y /. Limpia eso y vuelve a intentarlo.
¿Maneja Unicode y emojis?
Sí. El texto se codifica como UTF-8 antes de la conversión a Base64, así que las tildes, la ñ, los alfabetos no latinos y los emojis hacen el viaje de ida y vuelta correctamente.
¿Funciona en iPhone y Android?
Sí. Es una página web normal que funciona en cualquier navegador móvil moderno, muy práctica para una decodificación rápida cuando no estás frente al ordenador.