HTML Escape / Unescape
- Elige el modo: escapar o desescapar.
- Pega o escribe el texto.
- El resultado se actualiza mientras escribes y se puede copiar directamente.
Escapar convierte & en &, < en <, > en >, las comillas dobles en " y las simples en '.
Son exactamente esos cinco porque tienen significado estructural en HTML. El < abre una etiqueta, las comillas delimitan valores de atributo, y el & inicia la propia entidad.
El & debe convertirse primero. Escapar en el orden equivocado convertiría < en &lt;, corrompiendo el resultado: un fallo clásico en implementaciones caseras.
Al desescapar, además de esas entidades la herramienta reconoce , ', entidades numéricas como é y hexadecimales como 😀.
Insertar texto de usuario directamente en el HTML sin escapar es el origen del XSS. Un comentario que contenga una etiqueta de script pasa a ejecutarse como código en la página de quien lo lee.
Escapar convierte ese texto en contenido inerte: el navegador muestra los caracteres en lugar de interpretarlos.
Una advertencia importante: escapar para HTML no protege en todos los contextos. Dentro de un atributo de evento, de una URL o de un bloque de JavaScript, las reglas de escape son otras. La solución robusta es usar la API de tu framework, que ya lo gestiona, o una biblioteca de saneamiento.
- Mostrar un fragmento de HTML dentro de una página sin que se renderice.
- Investigar por qué un texto muestra un &lt; visible en pantalla, señal de doble escape.
- Preparar contenido para un campo que no escapa por sí solo.
- Recuperar el texto original de un HTML ya escapado.
Preguntas frecuentes
Es doble escape: el texto se escapó dos veces. El & del < original pasó a &. Desescapar una vez aquí devuelve el valor correcto.
En el contexto de contenido de elemento, sí. Dentro de un atributo de evento, de una URL o de un bloque JavaScript, no: cada contexto exige su propio escape. Usa la API de tu framework o una biblioteca de saneamiento.
Porque ' no forma parte de HTML 4 y algunos intérpretes antiguos no la reconocen. La forma numérica ' funciona en cualquier sitio.
Un espacio que no rompe la línea. Es útil para mantener dos palabras juntas, pero repartido por el texto suele ser un resto de contenido pegado desde un editor.
No. La conversión ocurre en tu navegador.