Codificação Base64: como funciona

Muitos sistemas, incluindo o e-mail, os cabeçalhos HTTP e XML, foram projetados para lidar com texto, mas não com dados binários arbitrários. Um valor de byte 0x00 (nulo) ou 0x1A (caractere de controle) pode causar falhas na análise ou corrupção de dados.

A codificação Base64 converte dados binários arbitrários em um subconjunto de caracteres ASCII seguro para sistemas que aceitam apenas texto, permitindo incorporar conteúdo binário, como imagens e certificados, em protocolos baseados em texto.

A Base64 funciona pegando três bytes de 8 bits (24 bits no total) e dividindo-os em quatro grupos de 6 bits. Cada grupo de 6 bits representa um valor de 0 a 63, que corresponde a um caractere do alfabeto Base64.

Essa proporção de 3 para 4 significa que cada 3 bytes de entrada produzem 4 caracteres de saída, gerando um aumento de 33% no tamanho. A matemática funciona de maneira uniforme porque 3 bytes = 24 bits = 4 grupos de 6 bits.

O alfabeto Base64 tem 64 caracteres: letras maiúsculas de A a Z (índices de 0 a 25), letras minúsculas de a a z (índices de 26 a 51), algarismos de 0 a 9 (índices de 52 a 61), o sinal de mais + (índice 62) e a barra / (índice 63).

Esse alfabeto evita todos os caracteres de controle e a maioria dos sinais de pontuação que poderiam causar problemas em sistemas de texto. Todos os caracteres da saída Base64 são caracteres ASCII imprimíveis e seguros para uso em praticamente qualquer protocolo de texto.

Quando o tamanho da entrada não é múltiplo de 3 bytes, é necessário usar preenchimento. Se restar um byte, ele será preenchido para formar um grupo de 12 bits, produzindo 2 caracteres Base64 seguidos de "==". Se restarem dois bytes, eles produzirão 3 caracteres Base64 seguidos de "=".

Os sinais de preenchimento = não são dados codificados; eles indicam ao decodificador que o último bloco é menor que 3 bytes. Eles garantem que o tamanho da saída seja sempre múltiplo de 4 caracteres.

Os valores ASCII de "Man" são M=77 (01001101), a=97 (01100001), n=110 (01101110). Concatenados: 010011010110000101101110.

Dividindo em grupos de 6 bits: 010011 | 010110 | 000101 | 101110 = 19 | 22 | 5 | 46. Consultando o alfabeto Base64: 19=T, 22=W, 5=F, 46=u. "Man" é codificado como "TWFu".

A Base64 padrão usa + e /, que têm significados especiais em URLs e nomes de arquivos. A Base64url é uma variante que substitui + por - e / por _, tornando-a segura para uso em URLs, nomes de arquivos e valores de cookies.

Os JWTs (tokens da Web em JSON) usam codificação Base64url nas seções de cabeçalho e carga útil. Os padrões JOSE (assinatura e criptografia de objetos JSON) baseiam-se inteiramente em Base64url.

A Base64 é usada em anexos MIME de e-mail (codificação de arquivos binários para e-mails baseados em texto), tokens JWT (codificação do cabeçalho e da carga útil JSON), URIs de dados em HTML (incorporação direta de imagens em CSS/HTML) e no formato PEM de certificados X.509.

O formato PEM (e-mail com privacidade aprimorada) envolve certificados binários codificados em DER em Base64 entre os cabeçalhos "-----BEGIN CERTIFICATE-----" e "-----END CERTIFICATE-----".

A Base64 não é criptografia. É uma codificação reversível sem chave. Qualquer pessoa que veja dados codificados em Base64 pode decodificá-los imediatamente usando ferramentas disponíveis gratuitamente ou uma única linha em qualquer linguagem de programação.

Um erro comum é pensar que senhas ou tokens codificados em Base64 estão "ocultos". Eles não estão. Se puder decodificá-los, um invasor também poderá. A segurança exige criptografia, não codificação.

Decodificar Base64 é tão fácil quanto codificar. Cada grupo de 4 caracteres Base64 é convertido novamente em seus valores de 6 bits, concatenado e dividido em bytes. O preenchimento com = indica quantos bytes o último grupo representa.

Em Python: import base64; base64.b64decode("TWFu") retorna b"Man". O processo é determinístico, sem perdas e não exige nenhuma chave ou segredo.

A sobrecarga de 33% no tamanho da Base64 (4 bytes de saída para cada 3 bytes de entrada), somada às quebras de linha a cada 76 caracteres (conforme exigido pelo MIME), significa que a Base64 não é eficiente para grandes transferências de dados binários.

Protocolos binários modernos, como o HTTP/2, com enquadramento binário, e WebSockets, com quadros binários, podem lidar diretamente com bytes brutos, eliminando a necessidade de Base64 em contextos de alto desempenho.

A Base32 usa um alfabeto de 32 caracteres (A-Z e 2-7), produzindo uma saída mais longa que a Base64, mas que não diferencia maiúsculas de minúsculas e é adequada para contextos em que essa distinção pode ser perdida. Os segredos compartilhados do TOTP geralmente são codificados em Base32.

A Base58, usada pelo Bitcoin em endereços de carteiras, remove caracteres visualmente ambíguos, como 0, O, I e l. Isso reduz os erros de transcrição ao copiar endereços. A desvantagem é que a Base58 não é uma potência de 2, o que torna a codificação um pouco mais complexa.

Teste seus conhecimentos sobre codificação Base64.

A Base64 converte dados binários em texto agrupando bits em blocos de 6 bits e mapeando-os para um alfabeto de 64 caracteres. Ela gera uma sobrecarga de 33% no tamanho e usa preenchimento com = para quantidades de bytes que não são múltiplas de 3.

A Base64 não oferece segurança. Ela é usada para compatibilidade de transmissão, não para garantir confidencialidade. A Base64url (-/_) é a variante segura para URLs usada em JWTs. A decodificação não exige uma chave e leva milissegundos.