O que e Base64?
Base64 e um esquema de codificacao que converte dados binarios numa string de 64 caracteres ASCII imprimitiveis. Os 64 caracteres sao: A-Z, a-z, 0-9, + e /, mais = como caracter de preenchimento.
Foi criado para resolver um problema especifico: muitos protocolos de transporte e sistemas de armazenamento foram construidos para texto, nao para dados binarios. Quando voce precisa mover conteudo binario (imagens, ficheiros, chaves) atraves de um canal so de texto, o Base64 e a solucao padrao.
O processo e simples: a cada 3 bytes (24 bits) de entrada correspondem 4 caracteres de saida. Uma string codificada em Base64 e aproximadamente 33% maior que o binario original. O processo e deterministico e reversivel, e uma codificacao, nao criptografia, e qualquer pessoa pode decodificar uma string Base64 de volta aos bytes originais.
Variantes do Base64: padrao, URL-safe e MIME
Nem todo Base64 e identico. Existem tres variantes principais em uso:
Base64 padrao (RFC 4648, Secao 4)
Usa + e / como 62o e 63o caracteres, com preenchimento =. E o que a maioria das bibliotecas produz por padrao. Seguro para armazenamento de ficheiros, mas nao para URLs.
Base64URL (RFC 4648, Secao 5)
Substitui + por - e / por _, e normalmente omite o preenchimento. O resultado pode aparecer em query strings e segmentos de caminho de URL sem codificacao percentual. Esta e a variante usada por JSON Web Tokens (JWTs), a escolha certa sempre que a saida aparecer em URLs ou cabecalhos HTTP. Fintechs brasileiras como Nubank, PicPay e Inter usam JWT com Base64URL em todas as suas APIs REST.
MIME Base64 (RFC 2045)
Mesmo conjunto de caracteres do Base64 padrao, mas a saida e dividida em linhas de no maximo 76 caracteres, cada uma terminada por CRLF (\r\n). Este e o formato usado para anexos de email. Se voce colar um bloco MIME Base64 num decodificador padrao, pode ser necessario remover as quebras de linha primeiro.
Escolher a variante errada e uma fonte comum de erros. Em caso de duvida: JWTs e URLs precisam de Base64URL; anexos de email precisam de MIME; todo o resto usa padrao.
Casos de uso comuns
Incorporar imagens em HTML ou CSS Em vez de criar um link para um ficheiro de imagem externo, voce pode incorpora-la directamente como data URI:
<img src="data:image/png;base64,iVBORw0KGgoAAAANSUh..." />
Isso elimina um pedido HTTP, o que pode acelerar pequenos icones ou imagens inline. A contrapartida: o ficheiro HTML fica maior, a imagem nao pode ser armazenada em cache de forma independente, e a abordagem nao escala alem de alguns quilobytes.
JSON Web Tokens (JWTs) em APIs REST brasileiras JWTs codificam o cabecalho e o payload como strings Base64URL separadas por pontos. O cabecalho identifica o algoritmo; o payload traz os claims (ID do usuario, permissoes, expiracao). Em APIs REST no ecossistema brasileiro, desde Pix a autenticacao OAuth em fintechs, os JWTs sao o formato de token mais comum. A assinatura tambem e codificada em Base64URL, mas com uma assinatura criptografica, nao apenas codificacao.
Anexos de email (MIME) Os protocolos de email foram originalmente concebidos so para texto. O MIME usa Base64 para codificar anexos binarios, PDFs, imagens, documentos Word, para que possam trafegar com seguranca pela infraestrutura de email.
Autenticacao HTTP Basic
As credenciais sao enviadas como usuario:senha codificadas em Base64 padrao:
Authorization: Basic dXNlcjpzZW5oYQ==
Dados binarios em JSON ou bases de dados JSON nao tem tipo binario nativo. Base64 e a forma padrao de incluir blobs binarios (icones, chaves criptograficas, conteudo de ficheiros) dentro de um payload JSON ou de uma coluna de texto num banco de dados relacional.
Base64 vs. criptografia: o que a LGPD exige
Este ponto e critico para qualquer sistema que processe dados pessoais no Brasil.
Base64 nao e criptografia. A codificacao Base64 transforma dados numa representacao diferente usando um esquema publico e reversivel. Qualquer pessoa que receba a string pode decodifica-la em segundos, sem chave, sem senha, sem nenhum segredo.
A Lei Geral de Protecao de Dados (LGPD, Lei n. 13.709/2018) exige que dados pessoais sejam protegidos com "medidas tecnicas e administrativas aptas a proteger os dados pessoais de acessos nao autorizados". Um dado pessoal codificado apenas em Base64, nome, CPF, email, numero de telefone, continua sendo um dado pessoal protegido pela LGPD, porque nao ha protecao real: qualquer vazamento expoe os dados de forma imediata.
Implicacoes praticas:
- Nao armazene dados pessoais "ofuscados" em Base64 como se fossem protegidos. Nao sao.
- Use criptografia real para dados sensiveis: AES-256-GCM para dados em repouso, TLS 1.2+ para dados em transito.
- JWTs com payload Base64URL nao protegem os claims. O payload de um JWT e legivel por qualquer pessoa. Use apenas claims nao sensiveis no payload, ou cifre o JWT inteiro (JWE).
- Em caso de vazamento de dados Base64: a ANPD (Autoridade Nacional de Protecao de Dados) pode considerar o incidente uma violacao da LGPD mesmo que os dados estivessem "codificados", porque a codificacao nao constitui medida de seguranca adequada.
Uso pratico em APIs REST brasileiras
O ecossistema de APIs REST no Brasil tem convencoes proprias que envolvem Base64 com frequencia:
Pix e Open Finance
As APIs do Banco Central e do Open Finance Brasil usam JWTs assinados (JWS) com cabecalhos e payloads em Base64URL. Os certificados de autenticacao mutua (mTLS) tambem sao distribuidos em formato PEM, que e Base64 com cabecalhos -----BEGIN CERTIFICATE-----.
Autenticacao OAuth 2.0
No fluxo Client Credentials (usado por fintechs como Nubank para autenticacao M2M), o client_id e o client_secret sao codificados em Base64 padrao e enviados no cabecalho Authorization durante a troca de tokens.
Webhooks e eventos Muitas APIs brasileiras (gateways de pagamento como PagSeguro, Cielo, Stone) enviam payloads de webhook com campos binarios (ex.: comprovantes, imagens de QR Code) codificados em Base64 dentro do JSON.
Como decodificar um JWT numa API REST (Node.js):
// Decodificar o payload de um JWT (sem verificar a assinatura)
function decodeJwtPayload(token) {
const base64Url = token.split(".")[1];
const base64 = base64Url.replace(/-/g, "+").replace(/_/g, "/");
return JSON.parse(atob(base64));
}
Lembre-se: isso apenas decodifica, nao valida. Para validar a assinatura de um JWT use uma biblioteca como jsonwebtoken (Node.js) ou PyJWT (Python).
Base64 no browser: btoa e atob
Todo navegador moderno tem duas funcoes nativas para Base64:
// Codificar uma string em Base64
const codificado = btoa("Ola, mundo!");
// Resultado: "T2xhLCBtdW5kbyE="
// Decodificar uma string Base64
const decodificado = atob("T2xhLCBtdW5kbyE=");
// Resultado: "Ola, mundo!"
btoa (binary to ASCII) e atob (ASCII to binary) funcionam em strings. Para ficheiros binarios ou dados Uint8Array e necessario converter antes. Para Base64URL (necessario para JWTs), substitua + por - e / por _ apos codificar:
const urlSafe = btoa(str)
.replace(/\+/g, "-")
.replace(/\//g, "_")
.replace(/=/g, "");
Em Python, use base64.b64encode(bytes) para codificar e base64.b64decode(str) para decodificar. Para Base64URL em Python: base64.urlsafe_b64encode(bytes).
Quando usar (e quando nao usar) Base64
Use Base64 quando:
- Um protocolo ou sistema exige representacao binaria segura para texto (MIME email, JSON, XML)
- For construir data URIs para pequenos recursos incorporados
- Trabalhar com JWTs ou outros formatos de token que especificam Base64URL
- Armazenar dados binarios numa coluna de texto no banco de dados
Nao use Base64 quando:
- Quiser proteger dados, use criptografia (AES-256 para simetrico, RSA ou curvas elipticas para assimetrico)
- Quiser reduzir o tamanho do ficheiro, use compressao (gzip, Brotli)
- Transferir ficheiros grandes, a sobrecarga de 33% acumula rapidamente
- Quiser verificar integridade dos dados, use HMAC ou assinatura digital
O Codificador/Decodificador Base64 deste site funciona inteiramente do lado do cliente, os seus dados nao sao enviados para nenhum servidor.