Codificador e Decodificador de Entidades HTML

A entidade HTML para o e comercial é & — literalmente os caracteres &, a, m, p e ponto e vírgula. Quando você escreve & no código-fonte HTML, o navegador exibe um único caractere &. Essa codificação é obrigatória sempre que um e comercial aparece no conteúdo de texto ou valores de atributos, porque um & não codificado inicia uma sequência de entidade que o analisador tenta interpretar.

O copyright © tem três entidades HTML equivalentes: a nomeada ©, a numérica decimal © e a hexadecimal ©. Todas renderizam o mesmo caractere ©. Entidades nomeadas são a opção mais legível quando disponíveis. Para HTML UTF-8 moderno, você também pode digitar o caractere © diretamente — sem entidade — desde que seu arquivo HTML declare charset=utf-8.

Aspas duplas (") devem ser codificadas como &quot; dentro de atributos HTML delimitados por aspas duplas: <input value="&quot;">. Aspas simples (') devem ser codificadas como &apos; ou &#39; dentro de atributos com aspas simples. Dentro do conteúdo de texto de elementos (entre tags), ambos os caracteres de aspas podem aparecer sem codificação, mas codificá-los não causa dano. Codificar ambos de forma consistente em todos os contextos é a abordagem mais segura.

Entidades nomeadas usam uma palavra descritiva (&copy;, &euro;, &hearts;) e são definidas na especificação HTML — nem todo caractere Unicode tem uma entidade nomeada. Entidades numéricas usam o ponto de código Unicode, seja em decimal (&#8364; para €) ou hexadecimal (&#x20AC; para €). Entidades numéricas funcionam para qualquer caractere Unicode, enquanto nomeadas cobrem apenas um subconjunto. Ambas são renderizadas de forma idêntica nos navegadores.

Geralmente não. Se seu documento HTML declara codificação UTF-8 (meta charset=utf-8) e está salvo como UTF-8, você pode escrever caracteres não-ASCII diretamente: é, ñ, 中, 🎉. Codificá-los como entidades é opcional e torna o código-fonte mais difícil de ler. A exceção é quando se envia HTML em contextos que podem não preservar a codificação: mensagens de e-mail, APIs legadas ou sistemas que corrompem bytes não-ASCII. Nesses casos, codificar todos os não-ASCII como entidades numéricas garante que a saída seja ASCII puro e seguro.

Cross-Site Scripting (XSS) é uma vulnerabilidade de segurança onde um invasor injeta JavaScript malicioso em uma página web inserindo texto que o servidor reflete em HTML sem codificação. Por exemplo, se a entrada do usuário <script>alert('xss')</script> for inserida diretamente em uma página, o navegador executa o script. Se você codificar corretamente a entrada — convertendo < em &lt; e > em &gt; — o navegador exibe o texto literalmente em vez de analisá-lo como uma tag. A codificação de entidades HTML é a principal defesa contra XSS refletido e armazenado.

Esta ferramenta codifica caracteres que têm entidades nomeadas. O espaço não separável (Unicode U+00A0) é codificado como &nbsp; quando você digita o caractere de espaço não separável real (que você pode inserir com Alt+Espaço em alguns sistemas ou copiar de mapas de caracteres). O espaço regular (U+0020, a barra de espaço) não é codificado porque é um caractere ASCII seguro. Se você precisar especificamente de &nbsp; na saída, digite ou cole um caractere de espaço não separável na entrada.

Sim — codificar o texto fornecido pelo usuário antes de inseri-lo em HTML é uma das defesas principais contra injeção HTML e XSS. No mínimo, codifique os cinco caracteres reservados: &, <, >, ", '. Esta ferramenta codifica todos os cinco. No entanto, a codificação sozinha não é uma solução de segurança completa: você também precisa de cabeçalhos Content Security Policy adequados, tratamento cuidadoso de URLs javascript: em atributos e proteções no nível do framework. Para aplicações em produção, use uma biblioteca do lado do servidor projetada para segurança (OWASP Java Encoder, DOMPurify para o lado do cliente, etc.) em vez de codificação manual.