Decodificador de entidades HTML gratuito — Desescapar HTML

¿Qué es la decodificación de entidades HTML?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Características clave

Ejemplos prácticos

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

Cómo usar el decodificador de entidades HTML

1. 1

   Pega la cadena escapada

   Suelta el texto lleno de entidades HTML en el cuadro de entrada. Los caracteres decodificados se actualizan en vivo a medida que escribes: no hay botón de enviar y no se envía nada a ningún sitio.

2. 2

   Lee el resultado decodificado

   Las referencias nombradas, decimales y hexadecimales se resuelven automáticamente a los caracteres que representan, incluidos emojis y otros puntos de código del plano astral. No hace falta seleccionar formato: el decodificador detecta el tipo de cada referencia.

3. 3

   Copia el texto decodificado

   Pulsa Copiar para poner los caracteres recuperados en tu portapapeles, listos para pegar en un editor, una base de datos u otra herramienta. Borrar reinicia ambos paneles para la siguiente cadena.

4. 4

   Reescapa antes de volver a mostrar texto no confiable

   Si la salida decodificada se va a renderizar de vuelta en una página web y algo de ella vino de una fuente no confiable, escápala de nuevo primero con el codificador para evitar reabrir un hueco de XSS.

5. 5

   ¿Necesitas codificar en su lugar? Invierte la dirección

   Usa Invertir dirección para cambiar al codificador de entidades HTML cuando quieras convertir caracteres en bruto en entidades.

Errores comunes al decodificar HTML

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Quién usa esta herramienta

Leer marcado almacenado en forma escapada

¿Sacaste un fragmento de HTML de una base de datos, un registro o un campo JSON donde se guardó como <div>…? Decodifícalo para ver y editar el marcado real en vez de bizquear ante un muro de entidades.

Depurar texto doblemente codificado

¿Ves &lt; en una página en vivo donde debería estar <? Pégalo aquí para confirmar que está doblemente codificado, decodifícalo dos veces para recuperar el original y rastrea el escapado duplicado hasta su origen en tu canalización.

Extraer texto plano de fragmentos HTML

¿Necesitas el texto legible para humanos de un cuerpo de correo o un campo de CMS escapado? Decodifica las entidades para recuperar los caracteres reales antes de indexar, buscar o mostrar el contenido en otro sitio.

Recuperar caracteres de datos extraídos o exportados

Las exportaciones y los scrapers suelen entregar contenido con las entidades intactas. Decodifica &, é y compañía de vuelta en sus caracteres para que los datos estén limpios antes de entrar en tus propios sistemas.

Verificar que la salida de un codificador hace ida y vuelta

Tras escapar una cadena con el codificador, decodifícala aquí para confirmar que recuperas el original sin cambios. Una ida y vuelta limpia prueba que tu escapado es correcto y reversible.

Resolver una entidad misteriosa

¿Atascado con qué es realmente ™ o …? Pégala y lee el carácter decodificado, o consulta la tabla de referencia rápida incorporada; no hace falta memorizar las tablas de entidades.

Decodificar marcado heredado de forma segura

¿Trabajas con HTML antiguo que usa entidades sin punto y coma como &copy o &nbsp de forma inconsistente? El decodificador permisivo recupera los caracteres previstos como lo haría un navegador real, así que tu limpieza coincide con lo que los usuarios ven de verdad.

Cómo funciona el decodificador

Resuelve las tres formas de referencia

El decodificador coteja las referencias nombradas con la tabla completa de caracteres nombrados de HTML5, analiza las referencias decimales (&#NNN;) como puntos de código en base 10 y analiza las referencias hexadecimales (&#xHHH;) como puntos de código en base 16. Cada una resuelve a su carácter Unicode; las tres formas son intercambiables en la entrada.

Reconstrucción del plano astral

Las referencias numéricas cuyo punto de código supera U+FFFF —la mayoría de los emojis y muchos símbolos— se convierten al par sustituto correcto para que el carácter se renderice como un único glifo. 😀 se convierte en 😀, no en dos medios caracteres rotos.

Manejo permisivo de entidades heredadas

Un subconjunto definido de entidades nombradas aparecía históricamente sin punto y coma final, y los navegadores aún las resuelven. El decodificador refleja este comportamiento —&copy 2026 da © 2026— coincidiendo con el renderizado de un navegador real en vez de un analizador XML estricto.

Idempotente sobre texto plano

Los caracteres que no forman parte de una referencia reconocida, incluido el texto no ASCII en bruto ya presente en la entrada, pasan intactos. Decodificar una cadena sin entidades la devuelve sin cambios, así que la operación es segura de ejecutar sobre contenido mixto.

La salida decodificada está desescapada

Decodificar es el inverso del escapado protector contra XSS, así que el resultado vuelve a ser marcado vivo. La herramienta lo señala para que no insertes texto decodificado no confiable en una página con innerHTML; reescápalo en su contexto de destino antes de renderizar.

Local en el navegador, cero red

La decodificación se ejecuta de forma síncrona en JavaScript en el hilo principal; no hay llamada a API, ni ida y vuelta a un servidor, ni persistencia. La entrada nunca sale de la página, lo que puedes confirmar observando un panel de Red vacío mientras escribes.

Buenas prácticas para desescapar HTML

Nunca renderices texto decodificado no confiable directamente

La salida decodificada es marcado desescapado. Si algo de ella vino de un usuario o una fuente externa, reescápala antes de insertarla en una página, o asígnala vía textContent en vez de innerHTML. Saltarte esto reabre el hueco de cross-site scripting que el escapado debía cerrar.

Decodifica en orden inverso al codificado

Un valor puede estar codificado en HTML, luego en URL, luego en Base64. Deshaz las capas en el orden opuesto al que se aplicaron, y usa la herramienta correspondiente a cada una: esta para entidades, el decodificador de URL para la codificación por porcentaje, la herramienta de Base64 para base64.

Decodifica una vez, no por reflejo

Si una sola decodificación deja entidades visibles como <, la entrada estaba doblemente codificada: decodifica de nuevo para recuperar el original, luego arregla la canalización aguas arriba para que el texto se escape exactamente una vez. No hagas bucles a ciegas; entiende por qué existe la capa extra.

Sirve el resultado como UTF-8

Decodificar referencias numéricas produce caracteres Unicode reales: acentos, símbolos, emojis. Asegúrate de que la página, archivo o campo que recibe el texto decodificado sea UTF-8, o esos caracteres recuperados se mostrarán como mojibake.

Prefiere una librería probada en el código de aplicación

Para conversiones puntuales esta herramienta es ideal; en producción, decodifica con una librería bien probada (he en Node, el propio analizador del navegador mediante un textarea separado) en vez de una expresión regular hecha a mano, que rutinariamente falla con referencias numéricas, caracteres astrales y entidades heredadas.

Preguntas frecuentes