Slik bruker du det

Velg Kod for å gjøre tekst trygg for HTML, eller Dekod for å gjøre om entiteter til tegn igjen.
Når du koder, velg om bokstaver med aksent og symboler skal beholdes som de er eller gjøres om til entiteter.
Skriv eller lim inn teksten din; resultatet oppdateres umiddelbart.
Kopier resultatet, eller bruk «Bruk utdata som inndata» for å sjekke at det dekodes tilbake til originalen.

Slik fungerer det

I HTML har noen få tegn spesiell betydning: < starter en tagg, & starter en entitet, og " eller ' avslutter en attributtverdi. For å vise dem som tekst må de skrives som tegnreferanser: < for <, > for >, & for &, " for " og ' for '. Apostrofen bruker den numeriske formen fordi ' ikke er definert i HTML 4.

Alle andre tegn, inkludert aksenttegn, kinesisk tekst og emoji, kan skrives direkte når siden lagres og serveres som UTF-8, som er standarden for moderne nettsteder. Å konvertere dem til entiteter er bare nødvendig for systemer som ikke er UTF-8-sikre, for eksempel noen gamle e-postmaler eller databaser. Du kan da velge navngitte entiteter som é der et vanlig navn finnes (med numerisk tilbakefall for alt annet) eller numeriske referanser som é for hvert tegn.

Dekoding bruker ikke nettleserens HTML-parser. Den bruker en innebygd tabell med alle 252 navngitte entiteter fra HTML 4.01, ' og omtrent 30 vanlige HTML5-navn, pluss desimale og heksadesimale referanser. Numeriske referanser følger HTML5-reglene: , surrogatverdier og verdier over U+10FFFF blir erstatningstegnet , og verdiene 128–159 leses som Windows-1252, så  blir en tankestrek. Noen få eldre navn som &amp og &copy godtas også uten avsluttende semikolon, slik nettlesere gjør. HTML5 definerer over 2 000 navn; sjeldne som ikke er i tabellen, blir stående uendret og listet opp.

Å escape tekst før den settes inn i HTML er et viktig forsvar mot cross-site scripting (XSS), men det er bare riktig for elementinnhold og attributtverdier i anførselstegn. Tekst plassert inne i en <script>-blokk, et stilattributt eller en URL trenger forskjellig escaping.

Eksempler

Vise kode på en nettside

For å vise <div class="box"> som tekst i et blogginnlegg, koder du den til <div class="box">. Nettleseren viser den opprinnelige taggen i stedet for å opprette et element.

Klargjøre tekst for en gammel e-postmal

Med «Navngitte entiteter der de finnes» blir «Café – 5 €» til Café – 5 €, som vises riktig selv om e-posten sendes med et ikke-UTF-8-tegnsett.

Rydde opp i tekst fra skraping eller eksport

En CMS-eksport inneholder Fish & Chips – £9. Dekoding gir Fish & Chips – £9, klar til å lime inn i et regneark.

Ofte stilte spørsmål

Hvilke tegn må escapes i HTML?

I elementinnhold må & og < escapes (> anbefales også). Inne i attributtverdier må du også escape anførselstegnet som omgir verdien. Å escape alle fem (& < > " ') overalt er den enkle og trygge regelen dette verktøyet følger.

Hva er forskjellen mellom navngitte og numeriske entiteter?

Navngitte entiteter som © er lettere å lese, men finnes bare for et begrenset sett med tegn. Numeriske referanser som © (desimalt) eller © (heksadesimalt) fungerer for alle Unicode-tegn, inkludert emoji.

Hvorfor dekodes   til noe som ser ut som et mellomrom?

  er et hardt mellomrom (U+00A0). Det ser ut som et vanlig mellomrom, men hindrer linjeskift og slås ikke sammen av HTML. Det er et annet tegn enn det vanlige mellomrommet, noe som har betydning når du sammenligner eller søker i tekst.

Må jeg kode aksentuerte bokstaver som é?

Ikke hvis siden din bruker UTF-8 (<meta charset="utf-8">), noe nesten alle moderne sider gjør. Behold standardinnstillingen, så blir bare de fem spesialtegnene escapet.

Er koding nok til å forhindre XSS?

Det er nok for tekst du ikke stoler på som settes inn i HTML-elementinnhold eller i attributtverdier med anførselstegn. Det er ikke nok for JavaScript-kode, CSS, attributter uten anførselstegn eller URL-er som href="javascript:…", som krever kontekstspesifikk håndtering.

Personvern

Koding og dekoding utføres med vanlige strengoperasjoner i nettleseren din; teksten din blir aldri gjengitt som HTML, lastet opp, lagret eller inkludert i analyse.