Does this run entirely in my browser?

Yes. Both escape and unescape use the browser's built-in DOM and string APIs. No content is sent to any server — paste freely, including content with secrets or PII.

Which HTML entities does it cover?

By default it escapes the five characters that matter for XSS: & (ampersand), (greater-than), " (double quote), and ' (apostrophe). Unescape additionally decodes all named HTML entities plus numeric character references (© and ©).

Is escaping alone enough to prevent XSS?

For plain HTML body text contexts, yes — escaping the five critical characters prevents tag injection. But other contexts (inline JavaScript, CSS, URLs, HTML attributes with unquoted values) require their own escaping or different defenses. Treat HTML escape as one layer in a defense-in-depth strategy.

What's the difference between escape and sanitize?

Escape preserves all input — it just makes potentially dangerous characters safe by converting them to entities. Sanitize removes content — it strips or rewrites whole tags and attributes that don't pass a whitelist. Use escape when you want to display plain text; sanitize when you want to allow some safe HTML.

Can I escape HTML for attribute values specifically?

Yes. The default escape mode covers double quotes (for double-quoted attributes) and single quotes (for single-quoted attributes). For maximum safety in attribute contexts, also avoid unquoted attribute values entirely — that's where the trickiest XSS vectors live.

Does it handle international characters?

Yes. Unicode characters pass through unchanged in escape mode (modern browsers handle UTF-8 natively). On the unescape side, numeric entities for any Unicode codepoint are decoded correctly, including emoji and characters from any script.

Why does my escaped string still get rendered as HTML?

You're probably using innerHTML or dangerouslySetInnerHTML somewhere downstream — these bypass escaping. Switch to textContent (DOM) or pass the value as a child node in React/JSX, which handles escaping automatically.

ConversoresParte de Conversores →

Escapado / Desescapado HTML

Escapa y desescapa entidades HTML.

Tus datos se quedan en tu dispositivoSin subida, sin servidorFunciona sin conexión

Contexto de escape

Estilo de entidad

Suelta .html o .txt (o haz clic para cargar)Hasta 5MB — procesado en tu navegador

Entrada

Escapado

&lt;div class=&quot;tool&quot;&gt;&amp; &quot;fast&quot;&lt;/div&gt;

Sin escapar

<div class="tool">& "fast"</div>

Por qué usar esta herramienta

Convierte texto en entidades HTML seguras y decodifica entidades de vuelta a texto.

Prepara contenido para contextos de marcado HTML.

Conversión en ambas direcciones de forma instantánea.

Cómo usarla

01Pega texto o entidades HTML.

02Copia la salida escapada o desescapada.

Revisiones rápidas antes de copiar

Confirma que el formato de entrada es el que esperabas.

Revisa el resultado antes de usarlo en un documento, URL, configuración o mensaje.

Copia solo el resultado que necesitas.

Preguntas frecuentes

¿Funciona de forma local?

Sí. La conversión se realiza completamente en el navegador.

¿Qué entidades HTML cubre?

El conjunto estándar: & (ampersand), < (menor que), > (mayor que), " (comillas dobles) y ' (apóstrofo).

¿Sirve para prevenir XSS?

Sí. Escapar la entrada del usuario previene inyecciones HTML en contenido renderizado en el navegador.

Escapado / Desescapado HTML

Por qué usar esta herramienta

Cómo usarla

Revisiones rápidas antes de copiar

Preguntas frecuentes

Herramientas relacionadas

JSON Escape / Unescape

Codificador / Decodificador de URL

Formateador JSON

Escapado / Desescapado HTML

JSON Escape / Unescape→

Codificador / Decodificador de URL→

Formateador JSON→

JSON Escape / Unescape

Codificador / Decodificador de URL

Formateador JSON