Base64エンコード・デコード｜日本語対応・URLセーフ・ファイル変換（無料）

APIの認証ヘッダー、メールの添付、設定ファイルに埋め込まれた文字列。Base64は「暗号」ではなく、バイナリを文字だけで表すための変換方式です。誰でも元に戻せます。ここを誤解したまま機密情報を入れてしまう事故が、実際によく起きています。

このツールは、テキストとBase64を相互に変換します。日本語（UTF-8）に対応し、URLに埋め込める「URLセーフ」形式にも切り替えられます。画像などのファイルを選べば、HTMLやCSSに直接埋め込めるdata URI形式で出力します。

すべての処理はブラウザの中で完結し、入力した内容もファイルもサーバーへ送信されません。

Base64は暗号ではない｜最も多い誤解

Base64された文字列は、一見すると意味の分からない英数字の羅列に見えます。そのため「読めないから安全」と考えてしまいがちですが、鍵は不要で、誰でも一瞬で元に戻せます。このページの「Base64 → テキスト」を押すだけです。

サイズが約1.33倍になる理由

Base64は、3バイトのデータを4文字に置き換えます。使える文字が64種類（A-Z、a-z、0-9、+、/）に限られるため、1文字で6ビットしか表現できないからです。

この増加率が、実務上の判断に効いてきます。画像をdata URIとしてHTMLやCSSに埋め込むと、ファイルは3割ほど大きくなり、しかもブラウザのキャッシュが効きません。使いどころを間違えると、表示速度が落ちます。

URLセーフ形式は、何が違うのか

通常のBase64は + と / を使いますが、この2文字はURLの中で別の意味を持ちます。そのままURLに入れると壊れるため、置き換えた形式が用意されています。

JWT（ログイン状態を表すトークン）は、このURLセーフ形式で作られています。ピリオドで区切られた3つの部分のうち、最初の2つはBase64を解くだけで中身が読めます。ここにも秘密情報を入れてはいけない、という原則が同じように当てはまります。

デコードできないときの原因

なお、画像やPDFをBase64にしたものを「テキストとして」デコードすることはできません。元がバイナリなので、文字として意味をなさないためです。その場合はdata URI形式のまま、ブラウザのアドレス欄に貼り付けると内容を確認できます。

Base64が使われている、身近な場所

どれも共通しているのは、「文字しか通せない場所に、文字以外のデータを通す」という目的です。秘密を守るための仕組みではない、という点だけ押さえておけば、使い方を誤ることはありません。

JWTの中身を、Base64で読んでみる

ログイン状態を表すJWT（JSON Web Token）は、ピリオドで区切られた3つの部分でできています。前の2つはBase64（URLセーフ形式）を解くだけで読めます。

試すときは、URLセーフのチェックを入れて「Base64 → テキスト」を実行し、ピリオドで区切った2つ目だけを貼り付けてください。JSONが出てきます。JSON整形ツールに通せば読みやすくなります。exp は有効期限で、値はUNIXタイム（秒）です。UNIXタイム変換で日時に直せます。

data URIの書式と、使いどころの見極め

このツールでファイルを選ぶと出力される data:image/png;base64,.... という形式は、ファイルの中身をURLとして表現したものです。書式は3つの部分でできています。

使いどころの判断は、サイズとキャッシュのトレードオフで決まります。

目安として、2〜3KB以下の画像はdata URI、それ以上はファイルと考えると、大きく外しません。表示速度の考え方はWordPressの高速化にまとめています。

Basic認証のヘッダーを、実際に組み立ててみる

Basic認証は、「ID:パスワード」という文字列をBase64にしただけのものです。仕組みを知るために、実際に試してみてください。

4番目を実際にやってみると、Basic認証のヘッダーが平文と変わらないことが体感できます。だからこそ、Basic認証は必ずHTTPS上で使う必要があり、ログやスクリーンショットに残してはいけません。認証まわりの安全な設計は二段階認証の記事を参照してください。