Base64 ist keine Verschlüsselung
Base64 stellt beliebige Bytes allein mit Buchstaben, Ziffern und ein paar Symbolen dar. Es existiert, damit Binärdaten durch Kanäle passen, die für Text gebaut wurden: Mail-Bodies, JSON-Felder, HTML-Attribute.
Es gibt weder Schlüssel noch Geheimnis, das Zurückwandeln kostet also nichts. Ein Passwort als Base64 in einer Konfigurationsdatei ist nicht versteckt, sondern nur eine Unbequemlichkeit weiter. Was wirklich verborgen bleiben soll, verschlüsseln Sie oder übergeben es einem Secret-Manager.
Wann URL-sicher sinnvoll ist
Standard-Base64 nutzt + und /. Beide bedeuten innerhalb einer Adresse etwas anderes, ein direkt in einen Query-String gesetzter Wert kommt deshalb beschädigt an. Die abschließende =-Auffüllung macht dieselben Probleme.
Die URL-sichere Variante räumt alle drei Punkte auf: + wird zu -, / wird zu _, die Auffüllung fällt weg. Genau diese Kodierung tragen die drei Teile eines JWT, meist auch OAuth-Autorisierungscodes und alles, was in einem Dateinamen landet. Für Werte in einer Adresse nehmen Sie URL-sicher, sonst den Standard.
Das Ergebnis wird länger
Base64 macht aus drei Bytes vier Zeichen, die Ausgabe ist also rund 33% länger als die Eingabe. Davor steht noch UTF-8: ein Emoji belegt vier Bytes, ein Umlaut zwei, der Text wächst also schon vor der Kodierung.
Dieser Zuwachs zählt, wenn Sie ein Bild als data:-URL einbetten. Bei einem kleinen Icon lohnt sich die eingesparte Anfrage. Bei einem Foto trägt die Seite die ganze Datei plus ein Drittel mit, und der erste Bildaufbau bezahlt dafür.
Wenn das Dekodieren scheitert
Die Meldung, dass es kein Base64 sei, bedeutet fast immer eine abgeschnittene Zeichenkette oder mitkopierte Anführungszeichen und Zeilenumbrüche. Das Werkzeug entfernt Leerraum bereits und akzeptiert URL-sichere Zeichen: Wenn es dann noch verweigert, ist die Zeichenkette selbst unvollständig.
Der Hinweis auf Binärdaten heißt, dass das Dekodieren geklappt hat, das Ergebnis aber kein lesbarer Text ist. Bei einem Bild oder Archiv in Base64 ist das die richtige Antwort und kein Fehler.