Ferramentas para quem programa

O que as pessoas colam num decodificador de Base64, por ordem de frequência: um JWT, um cabeçalho de Basic Auth, o payload de um webhook, um arquivo de configuração. Três em cada quatro são credenciais ou contêm credenciais. Um site que decodifique isso num servidor já viu tudo, e tem tudo no log de requisições, independentemente de qualquer intenção.

A objeção não é teórica. É por isso que esse gênero inteiro de site está bloqueado no proxy de muita empresa, e por isso que, onde não está, existe uma política que ninguém lê. Tudo o que há nesta página é aritmética que o navegador sabe fazer sozinho; mandar essa conta para outro lugar é uma decisão, e é a errada.

A página é HTML estático servido por uma CDN. Na primeira tecla um módulo pequeno de JavaScript é carregado, uma vez e depois do cache, e o trabalho acontece na sua aba. Nenhuma requisição leva o que você escreveu, e isso se confere no painel de rede em vez de se acreditar.

Dois limites honestos. A página em si é uma requisição, então o fato de você ter estado aqui é visível para nós e para a sua rede. E o site tem publicidade e, se você aceitar, estatística: nenhuma das duas enxerga o conteúdo de um campo de texto, mas ambas são requisições a terceiros. A diferença é entre o que você digita e o fato de você estar aqui — o primeiro nunca se move, o segundo necessariamente sim.

Se o dado não sai do aparelho, não há compartilhamento conosco e, portanto, não somos operador do que você cola. Esse é o ponto que decide na prática quando o campo contém um cadastro de cliente, uma mensagem de suporte ou um payload com dados pessoais dentro, e é a razão pela qual estas ferramentas podem ser usadas onde uma versão com servidor não poderia.

O que de fato acontece está na página de privacidade e não é maquiado aqui: a visita, as requisições de publicidade e de estatística, o consentimento. Uma ferramenta calcular localmente não deixa o site inteiro neutro — só tira dele a parte que pesa mais.

Uma página única que resolvesse Base64, URL e HTML nos dois sentidos atrás de um seletor seria menos páginas e seria pior. Codificar e decodificar falham de jeitos diferentes, se explicam diferente e são procurados diferente: quem está com uma sequência de porcentagem quebrada na mão e quem está montando uma query não têm quase nada a dizer um ao outro.

Então cada sentido tem a sua página, com os erros que pertencem a ela: o que fazer quando o Base64 se desfaz em bytes que não são texto, por que o `encodeURIComponent` deixa passar o ponto de exclamação e o que isso faz com uma assinatura de OAuth. Daí sai uma página que vale a leitura, e ela só é possível porque não atende a seis públicos ao mesmo tempo.

Depois que a página de uma ferramenta carregou, tudo acontece local: funciona no ônibus, no avião e atrás de um proxy corporativo que bloqueie o domínio uma hora depois. Não há service worker instalado nem nada para configurar; uma página que nunca chama para fora simplesmente não tem o que perder quando a conexão cai.

Na prática isso quer dizer que estas ferramentas servem justamente nas situações em que uma ferramenta online seria a escolha errada: numa máquina que não é sua, numa rede em que você não confia, com dados que na verdade não deveriam se mover. É para esse caso que elas existem.

Não há o que cadastrar porque não há o que administrar. As ferramentas não guardam nada entre duas visitas: fechar a aba apaga o que você escreveu, porque aquilo não existiu em nenhum outro lugar além daquela aba.

Também não há limite de quantidade, e não por generosidade: não pagamos nada pelo seu tempo de processamento, então não há o que racionar. O único teto é quanto texto o seu próprio navegador aguenta segurar num campo.

Nestas páginas está escrito payload, token, hash, query string e Base64 — não carga útil, ficha, resumo nem cadeia de consulta. Não é comodismo: é a língua em que se fala dessas coisas nos times brasileiros e em que se busca no Google.

Onde a palavra corrente é a portuguesa, ela é usada: arquivo, aba, requisição, cabeçalho, quebra de linha, acento. A regra não é «o máximo de português possível», e sim «a palavra que se diz na conversa»; qualquer outra coisa produz uma página corretamente traduzida que ninguém encontra.

Não há formatador de HTML, de CSS nem de JavaScript, e isso é uma decisão e não um buraco. Um formatador correto precisa de um parser de verdade; as bibliotecas usadas para isso pesam vários megabytes e seriam uma decisão de licença e de tempo de carregamento por si só, e uma versão caseira destrói entradas em silêncio. O formatador de JSON só é inofensivo porque esse parser já vem no navegador.

Falta também uma prévia de Markdown ou de HTML. As duas significariam renderizar marcação alheia dentro desta página, que é exatamente o que a página de decodificar entidades HTML recusa com argumento, porque um parser desses pode disparar requisição de rede. Um argumento que vale numa página não pode ser ignorado na seguinte.