Base64 es codificación, no cifrado: lo que debes saber

Ves una cadena larga de letras y números, quizá terminada en uno o dos signos de igual, y parece un secreto. No lo es. Eso es Base64 y, a pesar de su aspecto revuelto, no oculta absolutamente nada. Cualquiera puede devolverla al original en un solo paso. Esto importa porque la gente sigue confundiendo Base64 con seguridad, y ese error filtra secretos reales.

Resumen: Base64 convierte datos binarios en texto plano para que puedan viajar por sistemas pensados para texto, como el correo y las URL. Usa un alfabeto público fijo sin ninguna clave, así que decodificarlo es trivial e inmediato. Es un formato de transporte, no cifrado. Nunca lo uses para proteger una contraseña, un token o cualquier secreto.

Para qué sirve Base64

Las computadoras guardan imágenes, archivos y claves como bytes en bruto, pero muchos sistemas se diseñaron para transportar texto y solo texto. Los cuerpos de correo, las URL, los campos JSON, el HTML y el CSS esperan caracteres imprimibles y pueden atascarse o corromper datos binarios en bruto. Base64 resuelve eso reexpresando cualquier byte con un conjunto seguro de 64 caracteres imprimibles: las letras de la A a la Z y de la a a la z, los dígitos del 0 al 9 y dos extra. De ahí el nombre.

El resultado es texto que cualquier sistema basado en texto transportará intacto. Por eso una imagen pequeña puede incrustarse directamente en una hoja de estilos como data URL, por eso los adjuntos de correo viajan dentro de un correo de texto y por eso los tokens se codifican así. Base64 es la caja de envío que permite que la carga binaria viaje por caminos pavimentados para texto. La caja evita que el contenido se rompa en tránsito. No es una caja fuerte, y nunca pretendió serlo.

Por qué no es cifrado

El cifrado y Base64 pueden parecerse porque ambos producen una salida que no puedes leer a simple vista, pero funcionan de maneras opuestas. El cifrado usa una clave secreta para transformar los datos de modo que solo quien tenga la clave correspondiente pueda revertirlos. Sin la clave, la salida no significa nada. Toda la seguridad descansa en que la clave sea secreta.

Base64 no tiene clave. Usa un único alfabeto fijo y publicado, idéntico para todo el mundo, y la correspondencia es totalmente reversible por cualquiera que conozca el estándar, que es público. No hay secreto, así que no hay nada que mantenga fuera a un atacante. Llamar código a Base64 es como llamar código al alfabeto: es solo otra forma de escribir la misma información, legible por cualquiera que sepa leer. Decodificarlo es un clic en cualquier herramienta, incluido un codificador y decodificador Base64 en dev.hivly.net, y el original vuelve a salir tal cual.

El error que filtra secretos

La versión peligrosa de esta confusión es guardar o enviar un secreto en Base64 y creer que está protegido. Una contraseña, una API key, un token de sesión: mete cualquiera de ellos en Base64 y la salida de aspecto revuelto parece segura, así que termina en un archivo de configuración, un log, una URL o una columna de base de datos que alguien supone oculta. No está oculta. Cualquiera que lea esa cadena la decodifica al secreto original en segundos.

Esto aparece constantemente en los tokens. Un JWT, por ejemplo, está formado por partes codificadas en Base64, y su payload está ahí a la vista de cualquiera, que es justo por lo que nunca debes poner un secreto en el payload de un JWT. La codificación no es protección; es lo contrario de la protección, porque es trivialmente reversible. Si tratas la salida de Base64 como si fuera texto cifrado, has publicado tu secreto mientras sentías que lo guardabas bajo llave.

El modelo mental correcto

Quédate con una regla y no te equivocarás: Base64 cambia el formato, el cifrado cambia el acceso. Recurre a Base64 cuando necesites que datos binarios sobrevivan a un canal de solo texto, como incrustar una imagen, adjuntar un archivo o transportar la estructura de un token. Recurre al cifrado de verdad, un algoritmo serio con una clave que mantengas en secreto, siempre que el objetivo sea impedir que alguien lea el contenido.

Los dos incluso funcionan juntos, en este orden. Primero cifras el secreto, lo que lo vuelve ilegible sin la clave, y luego, si necesitas mover ese bloque cifrado por un canal de texto, le aplicas Base64 para transportarlo con seguridad. Ese es el orden correcto: cifrar para el secreto y codificar para el viaje. La codificación sola, sin nada debajo, no protege nada, por críptica que parezca la salida.