Codificar / Decodificar Base64
Converta texto em Base64 e vice-versa na hora, sem nada sair do seu navegador.
Quer decodificar Base64 ou codificar um texto? Este conversor faz os dois caminhos em tempo real. Digite ou cole em qualquer uma das caixas: codifique uma string para um cabeçalho HTTP ou data URI, ou decodifique aquele bloco de Base64 que você achou em um JWT, no código-fonte de um e-mail ou em um arquivo de configuração para ver o que ele diz de verdade.
Como a conversão acontece localmente no seu navegador, é seguro colar coisas que você jamais colocaria em um servidor qualquer: credenciais de Basic Auth, segmentos de JWT, payloads de API ou strings de licença. Nada é transmitido, armazenado ou registrado. É exatamente para isso que tudo roda no lado do cliente.
Base64 é uma codificação, não criptografia. Ela existe para representar dados binários usando apenas caracteres ASCII seguros — por isso você a encontra em anexos de e-mail, data URIs e cabeçalhos HTTP. Qualquer pessoa consegue decodificar, então nunca trate Base64 como forma de esconder segredos.
Como codificar ou decodificar Base64
- Cole o seu texto na caixa de entrada.
- Escolha Codificar para converter texto em Base64, ou Decodificar para o caminho inverso.
- O resultado aparece na hora, enquanto você digita.
- Se a decodificação falhar, verifique se falta padding (=) ou se há caracteres que não são Base64 válido.
- Clique em Copiar para pegar o resultado.
Onde o Base64 aparece no trabalho de verdade
O segmento do meio de um JWT é JSON codificado em Base64url, então decodificá-lo mostra as claims do token. Cabeçalhos de Basic Auth são 'usuario:senha' em Base64. Data URIs embutem imagens em CSS ou HTML como Base64. Secrets do Kubernetes, respostas SAML e anexos de e-mail também usam.
Um detalhe: o Base64 padrão usa + e /, enquanto a variante URL-safe usada por JWTs usa - e _ no lugar. Se um segmento de JWT não decodifica, essa diferença de caracteres (ou o padding removido) costuma ser o motivo.
Codificação não é criptografia — leia isto primeiro
Esta é a coisa mais importante de entender sobre o Base64: ele não oferece segurança nem sigilo nenhum. É um mapeamento público e reversível entre dados binários e 64 caracteres imprimíveis. Qualquer pessoa que veja a sua string Base64 consegue decodificá-la em um único passo, usando esta mesma ferramenta, e ler o original por inteiro. Não há chave, não há senha e não há nada para quebrar.
Ou seja, Base64 é a escolha errada para esconder um segredo. Se um arquivo de configuração guarda uma senha 'codificada' em Base64, trate essa senha como texto puro. Para de fato proteger dados você precisa de criptografia de verdade (para confidencialidade) ou de hashing com um algoritmo forte como bcrypt ou argon2 (para senhas). O Base64 apenas torna o binário seguro para transportar como texto; ele nunca o torna privado.
Como a conversão funciona no seu navegador
A codificação pega o seu texto, transforma-o nos seus bytes UTF-8, agrupa esses bytes em blocos de três (24 bits) e os redivide em quatro pedaços de 6 bits. Cada valor de 6 bits é um índice no alfabeto de 64 caracteres — por isso a saída Base64 é sempre um múltiplo de quatro caracteres, com sinais de = completando o grupo final quando o tamanho da entrada não é divisível por três.
Toda essa aritmética acontece em JavaScript, no seu próprio dispositivo, no momento em que você digita. Nada é enviado para lugar nenhum, então o resultado aparece na hora e a ferramenta continua funcionando offline depois que a página carregou. A decodificação simplesmente inverte o processo: lê quatro caracteres de volta em três bytes e reinterpreta o fluxo de bytes como texto UTF-8.
Privacidade ao decodificar tokens e credenciais
As strings que as pessoas mais querem decodificar são justamente aquelas que nunca deveriam ser coladas em uma ferramenta que roda no servidor: JWTs, cabeçalhos de Basic Auth, cookies de sessão, payloads de webhook assinados e secrets extraídos de um manifesto do Kubernetes. Como muitas vezes elas dão acesso a sistemas reais, enviá-las para inspeção seria entregar credenciais ativas.
Aqui a decodificação roda apenas no seu navegador, então um token que você cola para espiar as claims nunca sai da sua máquina e não é registrado em lugar nenhum. Quando você fecha a aba, ele some. Dito isso, a regra de ouro continua valendo: o fato de você conseguir decodificar um JWT em um segundo é exatamente por que o Base64 nunca deve ser usado para manter qualquer desse conteúdo em segredo.
Base64 padrão versus a variante URL-safe
Existem duas variantes. O Base64 padrão (RFC 4648) usa + e / como seu 62º e 63º caracteres e completa com =. Esses caracteres têm significado especial dentro de URLs e nomes de arquivo, então a variante URL-safe troca + por - e / por _, e frequentemente descarta o padding final por completo. JWTs, muitas APIs e alguns esquemas de nomes de arquivo usam essa forma URL-safe.
Essa incompatibilidade é uma fonte clássica de confusão. Um segmento de JWT copiado de um navegador vai conter - e _ e nenhum sinal de =; passe-o para um decodificador padrão rígido e ele pode engasgar. Se uma decodificação falha, verificar se você está diante do alfabeto URL-safe, e se o padding foi removido, resolve a maioria dos casos sem tocar nos dados em si.
Lidando com Unicode, emoji e dados binários
O Base64 em si só conhece bytes, não caracteres, então o texto precisa ser transformado em bytes primeiro. Esta ferramenta usa UTF-8, o que significa que letras latinas acentuadas, alfabetos não latinos como árabe ou chinês, e emojis fazem o caminho de ida e volta corretamente: são codificados em suas sequências UTF-8 de múltiplos bytes antes da conversão e remontados na volta.
Esse design de bytes-primeiro também é o motivo de o Base64 poder representar coisas que não são texto algum, como o conteúdo bruto de uma imagem embutida em um data URI. Ao decodificar uma string dessas, você verá bytes que não são caracteres imprimíveis, e isso é esperado: nem todo bloco de Base64 é feito para ser lido como texto, e uma tela cheia de rabiscos normalmente significa que o original era binário, não que a decodificação falhou.
Ferramentas relacionadas que priorizam a privacidade
O Base64 raramente anda sozinho. Um segmento de JWT decodificado é JSON, então cole-o no formatador de JSON para organizar as claims de forma limpa. Se um valor Base64 acaba contendo uma URL com caracteres escapados, o codificador e decodificador de URL a torna legível. E para a curiosidade no nível dos bits, o tradutor binário mostra como os caracteres mapeiam para bytes já de início.
E quando você realmente precisa de uma impressão digital de mão única em vez de uma codificação reversível, o gerador de hash calcula SHA-256 e digests relacionados. Todas essas ferramentas rodam inteiramente no seu navegador, da mesma forma, então você pode encadeá-las em dados sensíveis sem que nada seja enviado.
Perguntas frequentes
Esta ferramenta de Base64 é grátis?
Sim. É grátis, sem limites, sem conta e sem anúncio bloqueando o resultado. Codifique e decodifique quantas vezes precisar.
É seguro decodificar tokens ou credenciais aqui?
Sim. A codificação e a decodificação rodam inteiramente no seu navegador, em JavaScript. O que você cola nunca chega a um servidor, então tokens e credenciais ficam no seu dispositivo.
Base64 é criptografia?
Não. Base64 é uma codificação de texto reversível, não criptografia. Qualquer pessoa decodifica em um segundo, inclusive com esta ferramenta. Nunca use para proteger senhas ou segredos.
Por que a minha string Base64 não decodifica?
Normalmente por um de três motivos: falta do padding = no final, espaços ou quebras de linha colados junto com a string, ou uma variante URL-safe que usa - e _ no lugar de + e /. Limpe isso e tente de novo.
Funciona com Unicode e emoji?
Sim. O texto é codificado como UTF-8 antes da conversão para Base64, então acentos (ç, ã, é), alfabetos não latinos e emojis fazem o caminho de ida e volta corretamente.
Funciona no iPhone e no Android?
Sim. É uma página web simples que funciona em qualquer navegador moderno de celular — útil para uma decodificação rápida quando você está longe do computador.