Base64: cuándo usarlo, cuándo evitarlo y errores en integraciones

Base64 no es cifrado

Base64 convierte bytes binarios en texto ASCII seguro para transporte en JSON, XML o correo MIME. Es reversible por cualquiera que intercepte el mensaje. Confundir encoding con encryption es error grave en compliance — facturas PDF en Base64 dentro de JSON sin TLS siguen siendo legibles en tránsito si alguien hace MITM.

La herramienta Base64 del Toolbox codifica/decodifica en cliente. Úsala para inspeccionar payloads de integraciones legacy que envían PDF o firma escaneada embebida — sin subir documentos sensibles a servidores externos.

Para secretos reales: TLS en tránsito, cifrado en reposo, vault para claves. Base64 solo transporta, no protege.

Casos de uso legítimos

Adjuntos en APIs REST que no usan multipart: factura PDF como data:application/pdf;base64,... en JSON hacia Siesa o middleware contable.

Basic Authentication header: Authorization: Basic base64(user:pass) — obsoleto para apps nuevas pero aún presente en ERPs viejos; prefiere OAuth2 o API keys en header dedicado.

Data URLs en frontends pequeños: icono inline sin round-trip HTTP — limitado a assets mínimos; imágenes grandes inflan HTML y matan cache.

JWT payloads (header.payload.signature) usan Base64URL — variante sin padding; no mezclar con Base64 estándar al depurar tokens manualmente.

Cuándo evitar Base64

Archivos grandes en JSON: +33% de tamaño vs binario raw. Un ZIP de 15 MB se convierte en 20 MB y revienta límites de API Gateway. Usa presigned URLs S3 o upload multipart.

Imágenes de catálogo e-commerce en Base64 dentro de API de productos — cache imposible, CDN inútil, TTFB dispara. Sirve URLs HTTPS a assets en CDN.

«Ofuscar» IDs secuenciales codificando en Base64 — trivial de decodificar. Usa UUIDs o IDs opacos generados criptográficamente si necesitas no enumerar.

Errores operativos comunes

Padding incorrecto al pegar strings truncados — decode falla intermitente. Verifica longitud múltiplo de 4; usa herramienta Toolbox para validar antes de pegar en script.

Charset: Base64 de texto UTF-8 vs Latin-1 produce resultados distintos. Especifica encoding al codificar nombres con caracteres especiales colombianos.

Line breaks en PEM/certificados vs JSON single-line — algunos parsers rechazan saltos de línea dentro del string JSON; escapa o usa array de chunks documentado.

Integración con arquitectura moderna

En proyectos Conecta, APIs nuevas usan binario streaming o object storage para adjuntos; Base64 solo en bordes con sistemas legacy que lo exigen contractualmente.

Si tu integración Siesa exige Base64 en campo Documento, encapsula en servicio adapter con límite de tamaño, timeout y log de hash SHA-256 del original para auditoría sin almacenar duplicado.

Consulta a ingeniería antes de estandarizar Base64 en contrato de API verde — probablemente hay alternativa más eficiente que ahorrará costos de ancho de banda y CPU en picos logísticos.