Escapar HTML Grátis: Codificar e Decodificar Entidades HTML Online

A Escapar HTML converte caracteres especiais como <, >, & e " em suas entidades HTML (&lt;, &gt;, &amp;, &quot;). Assim o navegador os mostra como texto em vez de interpretá-los como código.

A Previne ataques XSS (Cross-Site Scripting). Se exibir texto de usuários sem escapar, um atacante poderia injetar código JavaScript malicioso.

A São códigos que representam caracteres especiais: &lt; para <, &amp; para &, &copy; para ©. Podem ter formato de nome (&amp;) ou numérico (&#38;).

A Sozinho não. O escape lida com o contexto de saída, mas XSS também acontece por execução de JavaScript, injeção CSS ou ataques baseados em atributos. Você precisa de cabeçalhos Content Security Policy e validação de entrada. Veja o escape como uma camada, não uma solução mágica. Combine com uma CSP que bloqueie scripts inline.

A Nossa ferramenta não permite escape seletivo, e por um bom motivo. Escapar parcialmente deixa brechas que atacantes podem explorar. Digamos que você escape < e >, mas deixe o & de fora. Um usuário digitando &lt;script&gt; pode gerar uma tag real se seu banco de dados codificar duplamente. Passe tudo pelo escape completo uma vez e confie na saída. Você evita casos bizarros.

A A ferramenta escapará novamente, transformando `&amp;` em `&amp;amp;`. Normalmente não é isso que você quer. Sempre confira se sua entrada são caracteres HTML puros, não entidades. Na dúvida, cole uma pequena amostra e veja o resultado. Esse erro é comum ao copiar texto de um CMS que já escapou o conteúdo antes.

A Você está passando caracteres <code><</code> e <code>></code> sem tratamento via JavaScript. Com <code>innerHTML</code>, o navegador interpreta isso como marcação, não como texto. Faça o escape HTML primeiro — isso converte <code><</code> em <code>&lt;</code> e <code>></code> em <code>&gt;</code>. Depois atribua a versão escapada ao <code>innerHTML</code>. O navegador exibirá as tags como caracteres literais. Pule essa etapa e você terá layouts quebrados ou uma brecha XSS.

A Sim, precisa. Muita gente acha que textareas são zonas seguras porque renderizam texto de forma diferente. O navegador ainda interpreta HTML lá dentro. Coloque < e > brutos, e você quebra a página ou cria uma brecha XSS. Escape sempre o conteúdo do usuário antes de injetar. Nossa ferramenta converte < em &lt; e > em &gt; em segundos, mesmo com milhares de linhas.

A Salve os dados brutos e escape no momento da renderização. Essa regra evita os pesadelos da dupla codificação. Se você escapar antes de salvar, depois vai precisar desescapar para editar e escapar de novo para exibir — três lugares para bugs aparecerem. Mantenha o banco limpo e passe tudo por esta ferramenta imediatamente antes de enviar ao navegador. Você evita o problema de &amp; virar &amp;amp; e usuários vendo texto quebrado. Exceção: se estiver criando um site estático, escapar no build também funciona bem.

A Eles resolvem problemas completamente diferentes. O escape HTML converte caracteres como < e > em entidades (&lt;, &gt;) para que o navegador os renderize como texto, não como marcação. A codificação URL transforma caracteres em valores percentuais (%3C, %3E) para transporte seguro em strings de consulta e caminhos. Misturá-los gera erros sutis. Se você está montando um link com entrada do usuário, codifique a URL. Se está exibindo essa mesma entrada numa página, escape o HTML. Duas etapas separadas, duas ferramentas distintas—esta só lida com HTML. Teste rápido: se sua URL mostra %26 onde deveria ter &, isso é codificação, não escape. Use a certa em cada camada e você evita bugs de dupla codificação que consomem horas.