Codificación Base64: cómo funciona

Muchos sistemas, incluidos el correo electrónico, los encabezados HTTP y XML, se diseñaron para manejar texto, pero no datos binarios arbitrarios. Un valor de byte de 0x00 (nulo) o 0x1A (carácter de control) puede provocar errores de análisis o corrupción de datos.

La codificación Base64 convierte datos binarios arbitrarios en un subconjunto de caracteres ASCII seguro para sistemas que solo manejan texto, lo que permite incrustar contenido binario, como imágenes y certificados, en protocolos basados en texto.

Base64 toma tres bytes de 8 bits (24 bits en total) y los divide en cuatro grupos de 6 bits. Cada grupo de 6 bits representa un valor de 0 a 63, que se asigna a un carácter del alfabeto Base64.

Esta proporción de 3 a 4 significa que cada 3 bytes de entrada producen 4 caracteres de salida, lo que supone un aumento de tamaño del 33 %. La relación funciona de manera exacta porque 3 bytes = 24 bits = 4 grupos de 6 bits.

El alfabeto Base64 tiene 64 caracteres: letras mayúsculas de A a Z (índices 0-25), letras minúsculas de a a z (índices 26-51), dígitos del 0 al 9 (índices 52-61), el signo más + (índice 62) y la barra diagonal / (índice 63).

Este alfabeto evita todos los caracteres de control y la mayoría de los signos de puntuación que podrían causar problemas en los sistemas de texto. Cada carácter de la salida Base64 es un carácter ASCII imprimible y seguro para su uso en prácticamente cualquier protocolo de texto.

Cuando la longitud de la entrada no es un múltiplo de 3 bytes, se necesita relleno. Si queda un byte, se rellena hasta formar un grupo de 12 bits, que produce 2 caracteres Base64 seguidos de "==". Si quedan dos bytes, producen 3 caracteres Base64 seguidos de "=".

Los signos de relleno = no son datos codificados; indican al decodificador que el último bloque es más corto que 3 bytes. Garantizan que la longitud de la salida siempre sea un múltiplo de 4 caracteres.

Los valores ASCII de "Man" son M=77 (01001101), a=97 (01100001), n=110 (01101110). Concatenados: 010011010110000101101110.

División en grupos de 6 bits: 010011 | 010110 | 000101 | 101110 = 19 | 22 | 5 | 46. Al consultar el alfabeto Base64: 19=T, 22=W, 5=F, 46=u. "Man" se codifica como "TWFu".

Base64 estándar utiliza + y /, que tienen significados especiales en las URL y los nombres de archivo. Base64url es una variante que reemplaza + por - y / por _, lo que la hace segura para su uso en URL, nombres de archivo y valores de cookies.

Los JWT (JSON Web Tokens) utilizan la codificación Base64url para sus secciones de encabezado y carga útil. Los estándares JOSE (JSON Object Signing and Encryption) se basan completamente en Base64url.

Base64 se utiliza en los archivos adjuntos de correo electrónico MIME (para codificar archivos binarios en correos basados en texto), en los tokens JWT (para codificar el encabezado y la carga útil JSON), en las URI de datos de HTML (para incrustar imágenes directamente en CSS/HTML) y en el formato PEM de certificados X.509.

El formato PEM (Privacy Enhanced Mail) encapsula certificados binarios codificados en DER en Base64, entre los encabezados "-----BEGIN CERTIFICATE-----" y "-----END CERTIFICATE-----".

Base64 no es cifrado. Es una codificación reversible que no utiliza ninguna clave. Cualquiera que vea datos codificados en Base64 puede decodificarlos de inmediato con herramientas disponibles gratuitamente o con una sola línea de código en cualquier lenguaje de programación.

Un error común es pensar que las contraseñas o los tokens codificados en Base64 están "ocultos". No lo están. Si usted puede decodificarlos, un atacante también puede hacerlo. La seguridad requiere cifrado, no codificación.

Decodificar Base64 es tan fácil como codificarlo. Cada grupo Base64 de 4 caracteres se vuelve a asignar a sus valores de 6 bits, se concatena y se divide en bytes. El relleno = indica cuántos bytes representa el último grupo.

En Python: import base64; base64.b64decode("TWFu") devuelve b"Man". El proceso es determinista, no pierde información y no requiere ninguna clave ni secreto.

La sobrecarga de tamaño del 33 % de Base64 (4 bytes de salida por cada 3 bytes de entrada), sumada a los saltos de línea cada 76 caracteres (como exige MIME), hace que Base64 no sea eficiente para transferencias binarias grandes.

Los protocolos binarios modernos, como HTTP/2 con entramado binario y WebSockets con tramas binarias, pueden manejar bytes sin procesar directamente, eliminando la necesidad de Base64 en contextos de alto rendimiento.

Base32 utiliza un alfabeto de 32 caracteres (A-Z y 2-7), por lo que produce una salida más larga que Base64, pero no distingue entre mayúsculas y minúsculas y es adecuado para contextos en los que se puede perder esta distinción. Los secretos compartidos de TOTP suelen codificarse en Base32.

Base58, que Bitcoin utiliza para las direcciones de billetera, elimina caracteres visualmente ambiguos como 0, O, I y l. Esto reduce los errores de transcripción al copiar direcciones. La desventaja es que Base58 no es una potencia de 2, por lo que la codificación es ligeramente más compleja.

Base64 convierte datos binarios en texto agrupando los bits en bloques de 6 bits y asignándolos a un alfabeto de 64 caracteres. Produce una sobrecarga de tamaño del 33 % y utiliza el relleno = cuando la cantidad de bytes no es múltiplo de 3.

Base64 no proporciona seguridad. Se utiliza para garantizar la compatibilidad en las transmisiones, no la confidencialidad. Base64url (-/_) es la variante segura para URL que se utiliza en los JWT. La decodificación no requiere ninguna clave y tarda unos milisegundos.