Base64 schreibt beliebige Bytes mit 64 druckbaren Zeichen. Aus je drei Bytes werden vier Zeichen, weshalb die Daten um genau ein Drittel wachsen — plus Auffüllzeichen am Ende.
Es ist keine Verschlüsselung, sondern eine Umschrift. Jeder kann sie in einer Sekunde rückgängig machen; wer damit ein Passwort schützt, schützt gar nichts.
Warum es Base64 überhaupt gibt
E-Mail und viele ältere Protokolle übertragen nur druckbare ASCII-Zeichen. Ein Bild oder eine ZIP-Datei enthält aber jedes mögliche Byte, und diese Lücke schließt Base64 — deshalb steckt es in jedem Mailanhang.
Heute begegnet es einem vor allem in Data-URLs, in Basic-Auth-Kopfzeilen und in JSON Web Tokens. Dort geht es nie um Geheimhaltung, sondern immer darum, Binärdaten durch einen Textkanal zu bekommen.
Die URL-sichere Variante
Im Standardalphabet stehen + und /, und beide haben in einer URL eine eigene Bedeutung. RFC 4648 definiert deshalb eine Variante, die stattdessen − und _ verwendet — sie steckt unter anderem in JSON Web Tokens.
Die Auffüllzeichen = werden dabei häufig weggelassen, weil auch sie in URLs stören. Das Dekodieren funktioniert ohne sie, solange die Länge stimmt; dieser Rechner nimmt beide Formen entgegen.