Codificador y Decodificador de Entidades HTML
Escapa los caracteres especiales de HTML para que se muestren como texto, o convierte las entidades de vuelta en caracteres legibles.
Déjalo desactivado en páginas UTF-8 modernas. Actívalo en plantillas antiguas o correos HTML donde las tildes y los emoji deben ser ASCII puro.
Cómo usar el codificador y decodificador de entidades HTML
- Pega el texto que quieras escapar, o el marcado lleno de entidades que necesites leer como caracteres normales.
- Marca "Codificar también todos los caracteres no ASCII" solo si la salida debe ser ASCII puro: las tildes y los emoji pasarán a entidades numéricas.
- Pulsa "Codificar" para escapar los caracteres reservados, o "Decodificar" para devolver las entidades a texto.
- Compara el panel de resultado con tu original: el encabezado indica si ves la salida codificada o la decodificada.
- Usa "Copiar resultado" para pegarlo en tu plantilla, o "Limpiar" para empezar de nuevo.
¿Qué es un codificador y decodificador de entidades HTML?
En HTML hay cinco caracteres con significado estructural: el ampersand abre una entidad, los signos de menor y mayor abren y cierran etiquetas, y las comillas delimitan los valores de los atributos. Cuando alguno aparece como contenido y no como marcado hay que escribirlo en forma de entidad —&, <, >, " y '— o el navegador lo interpretará como instrucciones. Escapar esos cinco es la defensa más fiable frente a maquetaciones rotas y ataques XSS almacenados.
El orden importa más de lo que parece. El ampersand debe escaparse primero; si no, los ampersands que introducen las sustituciones posteriores se escapan otra vez y < acaba convertido en &lt;. La decodificación invierte la secuencia: primero se resuelven las entidades numéricas y con nombre y al final el &, de modo que un &lt; escapado a propósito vuelve a ser < en lugar de colapsar en una etiqueta real. Esta herramienta decodifica con expresiones regulares y String.fromCodePoint en vez de innerHTML, así que es segura frente a inyecciones y estable durante el renderizado en servidor.
¿Estás escapando un valor para un enlace y no para el marcado? Usa el codificador y decodificador de URL para la codificación porcentual. Los datos binarios van al codificador y decodificador Base64, y puedes pulir los textos con el conversor de mayúsculas y minúsculas antes de escaparlos.
Preguntas frecuentes (FAQ)
¿Qué caracteres hay que escapar en HTML?
Como mínimo el ampersand, los signos de menor y mayor, las comillas dobles y el apóstrofo. Las comillas solo importan dentro de los atributos, pero escapar los cinco siempre es más sencillo y nunca resulta perjudicial.
¿Cómo escapo caracteres HTML online?
Pega el texto y pulsa "Codificar". Cada carácter reservado se convierte en su entidad, empezando por el ampersand para que nada quede doblemente escapado.
¿Cómo decodifico entidades HTML a texto?
Pega el marcado escapado y pulsa "Decodificar". Las entidades con nombre como y las numéricas como © o 😀 recuperan el carácter que representan.
¿Cuál es la diferencia entre ' y '?
Ambas representan un apóstrofo, pero ' no existía en HTML 4 y los navegadores antiguos pueden mostrarla literal. La forma numérica ' funciona en todas partes, por eso es la que genera esta herramienta.
¿Debo codificar las tildes y la ñ como entidades?
Normalmente no. Una página servida como UTF-8 muestra tildes, ñ y emoji directamente, y las entidades solo aumentan el peso del archivo. Activa la opción en sistemas heredados, clientes de correo antiguos o procesos que estropean todo lo que no sea ASCII.
¿Las entidades HTML evitan los ataques XSS?
Escapar la entrada del usuario antes de insertarla en el HTML es una defensa esencial, pero depende del contexto. Un valor que acaba en una URL, en JavaScript o en un bloque de estilos necesita sus propias reglas, así que nunca confíes solo en las entidades.
¿Funciona con emoji y caracteres poco comunes?
Sí. La codificación recorre puntos de código y no unidades UTF-16, de modo que un emoji se convierte en una sola entidad como 😀 en lugar de dos mitades rotas, y la decodificación lo restaura exactamente.
Consejos para escapar HTML con seguridad
- Tip 1: Escapa al salir, no al entrar. Guarda los caracteres originales en la base de datos y codifica al renderizar: así el mismo valor sirve también para JSON, correo o un PDF.
- Tip 2: Vigila el doble escapado. Si en pantalla aparece &lt;, algo escapó una cadena ya escapada: decodifica una vez y corrige el proceso en vez de parchear la salida.
- Tip 3: Usa con moderación. Es perfecto para mantener una cifra junto a su unidad, pero encadenar varios para simular espaciado rompe el ajuste de texto en pantallas pequeñas.
- Tip 4: Escapa aquí tus títulos y descripciones antes de pegarlos en el generador de meta etiquetas, y cambia al codificador y decodificador de URL cuando el valor vaya dentro de un href y no del contenido de la página.