صورة مضمَّنة في صفحة على هيئة سلسلة طويلة من الحروف، عنوان تتحول فيه المسافات إلى %20، رمز دخول من ثلاث كتل تفصل بينها نقاط: يلتقي Base64 وترميز عناوين URL وJWT كل يوم في تطوير الويب. تتشابه هذه الثلاثة ويسهل الخلط بينها، ولا واحد منها تشفير. إليك ما تفعله حقًّا وكيف تفك ترميزها بأمان.
Base64: جعل البايتات قابلة للطباعة
يمثّل Base64 البيانات الثنائية (صورة، ملف PDF) بـ64 حرفًا آمنًا فقط: A-Z وa-z و0-9 و+ و/. ويُستخدم حيثما لا تقبل القناة إلا النص: مرفقات البريد الإلكتروني، والصور المضمَّنة في CSS أو HTML (بالبادئة data:)، والرموز، وبعض ملفات الإعدادات.
المبدأ: تُقسَّم 3 بايتات (24 بتًا) إلى 4 مجموعات من 6 بتات، يُمثَّل كل منها بحرف. فمثلًا «Man» تصير «TWFu» و«Hello» تصير «SGVsbG8=» (تكمل علامة = الكتلة الأخيرة غير المكتملة). والنتيجة العددية: يحوّل Base64 دائمًا 3 بايتات إلى 4 أحرف، أي زيادة 33% في الحجم. فصورة بحجم 1 ميغابايت مضمَّنة بصيغة data: تزن نحو 1.33 ميغابايت.
ولنكرر: Base64 ليس تشفيرًا. يفك ترميزه أي شخص في لحظة. لا تستخدمه أبدًا «لإخفاء» كلمة مرور.
الترميز وفكه باستخدام مشفّر ومفكّك Base64
- اختر ترميز أو فك ترميز، ثم الصق نصًا أو أفلت ملفًا (24 ميغابايت كحد أقصى: يضيف Base64 ثلثًا، وما بعد ذلك يبطّئ علامة التبويب).
- يُحوَّل النص إلى UTF-8 قبل الترميز: فالعربية والحروف المشكولة والرموز التعبيرية تذهب وتعود دون تلف، بخلاف btoa المجردة في JavaScript.
- عند فك الترميز يُقبل تلقائيًا الأبجديتان (القياسية و«URL-safe» التي فيها - و_ بدل + و/)، ووجود = أو غيابه، وفواصل الأسطر، والبادئة data:…
- إن لم تكن البايتات المفكوكة نصًا تكتشف الأداة النوع (PNG وJPEG وPDF وZIP…)، وتعرض معاينة للصور وتتيح تنزيل الملف.
- خيارات الإخراج: النسخة URL-safe، بلا حشو (=)، فواصل أسطر MIME، بادئة data:.
ترميز URL (النسبة المئوية)
لا يمكن أن يحتوي عنوان ويب إلا على حروف معينة. وتُستبدل الأخرى بعلامة «%» يتبعها رقمان ستة عشريان يمثلان بايتات UTF-8. فالحرف «é» يصير %C3%A9، والحرف العربي «م» يصير %D9%85، والرمز التعبيري «😀» يصير %F0%9F%98%80 (أربع بايتات). والمسافة تصير %20، أو + في نموذج HTML كلاسيكي.
| النوع | ما يرمّزه | استخدمه لـ |
|---|---|---|
| مكوّن (Component) | كل شيء عدا الحروف الآمنة | قيمة معامل (?name=value). |
| عنوان كامل | يُبقي / ? # & = | عنوان كامل منظَّم أصلًا. |
| نموذج (Form) | المسافة على شكل + | جسم نموذج HTML. |
عند فك الترميز يُحدَّد الخطأ («100%» أو «%ZZ») ويُشرح؛ ويفك الوضع المتسامح ما هو صالح ويترك الباقي. وإن بقيت في النتيجة متواليات %XX تنبّه الأداة إلى ترميز مزدوج وتعرض فك الترميز مرة أخرى. وبطاقة «تحليل عنوان URL» تقسم العنوان إلى المخطط واسم المستخدم والمضيف والمسار والمعاملات.
أخطاء شائعة
- اعتبار Base64 تشفيرًا و«إخفاء» كلمة مرور فيه.
- ترميز قيمة مرتين والحصول على %2520 بدل %20.
- استخدام ترميز العنوان الكامل على قيمة معامل، فيُبقي & أو = غير مرمَّزين ويكسر الطلب.
- الوثوق بمحتوى JWT دون التحقق من توقيعه.
- فقدان الحروف المشكولة أو العربية بالترميز بدالة لا تمر عبر UTF-8.
حدود ينبغي الاعتراف بها
- يُقتطع عرض نتيجة طويلة جدًا، لكن النسخ والتنزيل كاملان.
- التحقق من JWT يتطلب المفتاح: وبدونه تكون القراءة وحدها ممكنة.
- لا واحدة من هذه الآليات الثلاث تحمي بيانات حساسة: لذلك تحتاج إلى تشفير حقيقي.
الأسئلة الشائعة
لماذا يكبّر Base64 البيانات؟
لأنه يمثّل 3 بايتات بـ4 أحرف: يزيد الحجم بالثلث (33%)، مع حشو نهائي إن وُجد.
هل Base64 آمن لإخفاء المعلومات؟
لا. ليس له مفتاح ويُفك ترميزه فورًا. إنه ليس تشفيرًا.
هل يُرسل JWT الخاص بي إلى خادم؟
لا. يبقى الرمز والسر والمفتاح في متصفحك.
ماذا يعني %20 في عنوان؟
هو مسافة مرمَّزة: يُكتب الحرف الذي رمزه 0x20 بعلامة % تتبعها قيمته الست عشرية.
كيف أفك ترميز صورة Base64؟
الصق السلسلة (مع البادئة data: أو بدونها) في الأداة: تكتشف نوع الملف وتعرض المعاينة وتتيح التنزيل.