Gratis HTML-entiteiten decoder — HTML unescapen

Wat is HTML-entiteitendecodering?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Belangrijkste functies

Uitgewerkte voorbeelden

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

Zo gebruik je de HTML-entiteiten decoder

1. 1

   Plak de geëscapede tekenreeks

   Zet de tekst vol HTML-entiteiten in het invoervak. De gedecodeerde tekens worden live bijgewerkt terwijl je typt — er is geen verzendknop en er wordt niets ergens heen gestuurd.

2. 2

   Lees het gedecodeerde resultaat

   Genoemde, decimale en hexadecimale referenties lossen allemaal automatisch op naar de tekens die ze vertegenwoordigen, inclusief emoji en andere astrale codepunten. Er is geen notatiekeuze nodig — de decoder detecteert het type van elke referentie.

3. 3

   Kopieer de gedecodeerde tekst

   Klik op Kopiëren om de herstelde tekens op je klembord te zetten, klaar om in een editor, een database of een andere tool te plakken. Wissen stelt beide vensters opnieuw in voor de volgende tekenreeks.

4. 4

   Escape opnieuw voordat je niet-vertrouwde tekst weer toont

   Als de gedecodeerde uitvoer terug in een webpagina gerenderd wordt en een deel ervan uit een niet-vertrouwde bron komt, escape het dan eerst opnieuw met de encoder om geen XSS-gat te heropenen.

5. 5

   In plaats daarvan encoderen? Wissel de richting

   Gebruik Richting omwisselen om over te schakelen naar de HTML-entiteiten encoder wanneer je ruwe tekens in entiteiten wilt omzetten.

Veelgemaakte fouten bij HTML-decoderen

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Wie gebruikt deze tool

Opmaak lezen die in geëscapede vorm opgeslagen is

Een HTML-fragment uit een database, een log of een JSON-veld gehaald waar het als <div>… opgeslagen was? Decodeer het om de echte opmaak te zien en te bewerken in plaats van te turen naar een muur van entiteiten.

Dubbel-geëncodeerde tekst debuggen

Zie je &lt; op een live-pagina waar < zou moeten staan? Plak het hier om te bevestigen dat het dubbel-geëncodeerd is, decodeer het twee keer om het origineel te herstellen, en traceer de dubbele escaping terug naar zijn bron in je pijplijn.

Platte tekst uit HTML-fragmenten halen

De voor mensen leesbare tekst nodig uit een geëscapede e-mailtekst of CMS-veld? Decodeer de entiteiten om de werkelijke tekens te herstellen voordat je de inhoud indexeert, doorzoekt of elders weergeeft.

Tekens herstellen uit gescrapete of geëxporteerde data

Exports en scrapers leveren inhoud vaak met entiteiten intact. Decodeer &, é en consorten terug naar hun tekens zodat de data schoon is voordat ze je eigen systemen binnenkomt.

Verifiëren dat de uitvoer van een encoder heen en terug klopt

Na het escapen van een tekenreeks met de encoder, decodeer je die hier om te bevestigen dat je het origineel ongewijzigd terugkrijgt. Een schone heen-en-terugcyclus bewijst dat je escaping correct en omkeerbaar is.

Een raadselachtige entiteit oplossen

Vastgelopen op wat ™ of … eigenlijk is? Plak het in en lees het gedecodeerde teken, of raadpleeg de ingebouwde snelreferentietabel — geen noodzaak de entiteitentabellen uit het hoofd te leren.

Verouderde opmaak veilig decoderen

Werk je met oude HTML die entiteiten zonder puntkomma als &copy of &nbsp inconsistent gebruikt? De soepele decoder herstelt de bedoelde tekens zoals een echte browser zou doen, zodat je opschoning overeenkomt met wat gebruikers daadwerkelijk zien.

Hoe de decoder werkt

Lost alle drie referentievormen op

De decoder matcht genoemde referenties tegen de volledige HTML5-tabel van genoemde tekens, parseert decimale referenties (&#NNN;) als codepunten in grondtal 10, en parseert hexadecimale referenties (&#xHHH;) als codepunten in grondtal 16. Elk lost op naar zijn Unicode-teken; de drie vormen zijn bij invoer uitwisselbaar.

Reconstructie van astrale tekens

Numerieke referenties met een codepunt boven U+FFFF — de meeste emoji en veel symbolen — worden omgezet naar het juiste surrogaatpaar zodat het teken als één glyph rendert. 😀 wordt 😀, niet twee kapotte halve tekens.

Soepele afhandeling van verouderde entiteiten

Een gedefinieerde subset van genoemde entiteiten verscheen historisch zonder afsluitende puntkomma, en browsers lossen ze nog steeds op. De decoder weerspiegelt dit gedrag — &copy 2026 levert © 2026 — passend bij de weergave van een echte browser in plaats van een strikte XML-parser.

Idempotent op platte tekst

Tekens die geen deel uitmaken van een herkende referentie, inclusief ruwe niet-ASCII-tekst die al in de invoer aanwezig is, gaan ongemoeid door. Een tekenreeks zonder entiteiten decoderen geeft die ongewijzigd terug, dus de bewerking is veilig om op gemengde inhoud te draaien.

Gedecodeerde uitvoer is ge-unescaped

Decoderen is de inverse van XSS-beschermend escapen, dus het resultaat is opnieuw actieve opmaak. De tool maakt dit zichtbaar zodat je geen gedecodeerde niet-vertrouwde tekst met innerHTML in een pagina invoegt — escape die opnieuw in zijn doelcontext voor het renderen.

Browser-lokaal, nul netwerk

Het decoderen draait synchroon in JavaScript op de hoofdthread; er is geen API-aanroep, geen server-retour en geen opslag. De invoer verlaat de pagina nooit, wat je kunt bevestigen door tijdens het typen naar een leeg Netwerk-paneel te kijken.

Best practices voor HTML unescapen

Render gedecodeerde niet-vertrouwde tekst nooit rechtstreeks

Gedecodeerde uitvoer is ge-unescapede opmaak. Kwam een deel ervan van een gebruiker of een externe bron, escape het dan opnieuw voordat je het in een pagina invoegt, of wijs het toe via textContent in plaats van innerHTML. Dit overslaan heropent het cross-site-scripting-gat dat escapen moest dichten.

Decodeer in omgekeerde volgorde van encoderen

Een waarde kan HTML-geëncodeerd, dan URL-geëncodeerd, dan Base64-geëncodeerd zijn. Maak de lagen ongedaan in de omgekeerde volgorde waarin ze toegepast werden — en gebruik de passende tool voor elk: deze voor entiteiten, de URL-decoder voor percent-encodering, de Base64-tool voor base64.

Decodeer één keer, niet reflexmatig

Als één decode-pass zichtbare entiteiten als < achterlaat, was de invoer dubbel-geëncodeerd — decodeer opnieuw om het origineel te herstellen, en herstel dan de stroomopwaartse pijplijn zodat tekst precies één keer geëscaped wordt. Loop niet blindelings; begrijp waarom de extra laag bestaat.

Serveer het resultaat als UTF-8

Het decoderen van numerieke referenties levert echte Unicode-tekens op — accenten, symbolen, emoji. Zorg dat de pagina, het bestand of het veld dat de gedecodeerde tekst ontvangt UTF-8 is, anders worden die herstelde tekens als mojibake weergegeven.

Verkies een geteste bibliotheek in applicatiecode

Voor losse conversies is deze tool ideaal; decodeer in productie met een goed geteste bibliotheek (he in Node, de eigen parser van de browser via een losse textarea) in plaats van een zelfgeschreven regex, die routinematig numerieke referenties, astrale tekens en verouderde entiteiten mist.

Veelgestelde vragen