HTML Entities Online
Sonderzeichen in HTML maskieren, um sie sicher darzustellen und XSS-Angriffe zu verhindern.
Wofür es gedacht ist
HTML sicher maskieren
Benannte und numerische Entities
Kodierung in benannte oder numerische Entities. Beide Typen werden automatisch dekodiert.
100 % privat
Verarbeitung findet in deinem Browser statt. Dein Code oder Inhalt wird nie an einen Server übertragen.
Verhindert XSS
Maskiert die 5 kritischen Zeichen, die die Hauptursache für XSS-Schwachstellen sind.
Sofort
Ergebnisse erscheinen während du tippst. Keine Schaltflächen, kein Warten.
So funktioniert es
Drei Schritte, kein Aufwand
Text zum Kodieren oder Dekodieren einfügen
Gib Text mit Sonderzeichen wie kleiner-als, größer-als, kaufmännischem Und oder Anführungszeichen zum Kodieren ein, oder Text mit HTML-Entities zum Dekodieren zurück in Klartext.
Modus auswählen
Wähle Kodieren, um Sonderzeichen in HTML-Entities umzuwandeln, oder Dekodieren, um HTML-Entities zurück in Klartext zu konvertieren.
Ergebnis kopieren
Erhalte den verarbeiteten Text, der direkt in dein HTML, Template oder deine Datenbank eingefügt werden kann. Mit einem Klick in die Zwischenablage kopieren.
FAQ
Noch Fragen?
HTML-Entities sind Zeichenfolgen, die Sonderzeichen in HTML repräsentieren. Sie beginnen mit einem kaufmännischen Und und enden mit einem Semikolon. Es gibt zwei Typen: benannte Entities wie das Entity für kaufmännisches Und, für kleiner-als und für größer-als, sowie numerische Entities in dezimaler oder hexadezimaler Form. Der HTML5-Standard definiert mehr als 2.000 benannte Entities für Unicode-Zeichen.
HTML verwendet bestimmte Zeichen als Teil seiner Syntax: kleiner-als beginnt einen Tag, größer-als schließt ihn, kaufmännisches Und beginnt eine Entity und Anführungszeichen begrenzen Attribute. Wenn du diese Zeichen direkt in HTML-Inhalt einfügst ohne Maskierung, interpretiert der Browser sie als Syntax statt als Text und bricht das Markup. Um zum Beispiel den Text mit sichtbaren Tags wörtlich darzustellen, müssen die entsprechenden HTML-Entities verwendet werden.
Das Entity für kaufmännisches Und steht für das Et-Zeichen. Das Entity für kleiner-als steht für das Kleiner-als-Zeichen. Das Entity für größer-als steht für das Größer-als-Zeichen. Das Entity für Anführungszeichen steht für das doppelte Anführungszeichen. Das Entity für Apostroph steht für den Apostroph. Das Entity für geschütztes Leerzeichen steht für einen nicht umbrechenden Leerraum. Copyright, eingetragenes Warenzeichen und Euro-Symbol vervollständigen die häufigsten Anwendungsfälle.
Benannte Entities sind besser lesbar, erfordern aber, dass der Browser den Namen kennt. Sie sind in der HTML-Spezifikation definiert und jede Version erweitert die Liste. Dezimale numerische Entities und hexadezimale Entities funktionieren für jedes Unicode-Zeichen ohne Namensabhängigkeit. Strikte XML-Parser erkennen nur 5 vordefinierte benannte Entities und erfordern numerische Entities für alle anderen.
XSS (Cross-Site Scripting) tritt auf, wenn ein Angreifer JavaScript-Code über nicht bereinigte Daten in eine Webseite einschleust. Wenn eine Anwendung einen Benutzernamen ohne Maskierung anzeigt und der Angreifer einen Script-Tag als Namen verwendet, würde dieser ausgeführt werden. Mit HTML-Entity-Maskierung wird der Name als inaktiver Text dargestellt. HTML-Entity-Maskierung auf der Präsentationsschicht ist die primäre Verteidigung gegen reflektiertes und gespeichertes XSS in Webanwendungen.
HTML-Entities: die grundlegende Abwehr gegen XSS in Webanwendungen
HTML-Entities sind seit den frühesten Versionen ein fundamentaler Bestandteil der HTML-Spezifikation. Der HTML5-Standard (WHATWG Living Standard) definiert 2.231 benannte Entities, von den grundlegenden für kaufmännisches Und, kleiner-als und größer-als bis hin zu mathematischen Zeichen, Währungssymbolen und griechischen Buchstaben. Ihr ursprünglicher Zweck war es, Sonderzeichen ohne Mehrdeutigkeit mit der Auszeichnungssprache-Syntax in HTML-Dokumenten einzubinden. Im Laufe der Zeit ist ihre Bedeutung für die Web-Sicherheit ebenso zentral geworden.
XSS (Cross-Site Scripting) gehört konstant zu den verbreitetsten Schwachstellen in Webanwendungen und erscheint Jahr für Jahr in den OWASP Top 10. Ein erfolgreicher XSS-Angriff kann Session-Cookies stehlen, Aktionen im Namen des Nutzers durchführen, auf Phishing-Seiten umleiten oder Keylogger einschleusen. Korrekte HTML-Entity-Maskierung auf der Präsentationsschicht ist die wirksamste Gegenmaßnahme gegen reflektiertes und gespeichertes XSS. Moderne Frameworks wie React, Angular und Vue.js wenden diese Maskierung automatisch beim Rendern von Variablen in Templates an.
Für Entwickler, die mit HTML-Templates, E-Mail-Generierung, CMSs oder beliebigen Systemen arbeiten, die vom Nutzer bereitgestellte Inhalte rendern, ist korrekte HTML-Entity-Maskierung keine Option — sie ist eine grundlegende Sicherheitspraxis. Convertir.ai bietet dieses Werkzeug vollständig im Browser laufend an, ideal zum Überprüfen der Maskierung von Code-Snippets, zur Vorbereitung von Inhalten für die Einfügung in HTML oder zur Rückkonvertierung von Entities in Text für die weitere Verarbeitung.