Qué son las entidades HTML y cómo escapar caracteres

Qué son las entidades HTML

Una entidad HTML, llamada con más precisión referencia de carácter en la especificación, es una forma de escribir un carácter mediante texto para que el navegador lo interprete como ese carácter. Por ejemplo, & representa un ampersand, < representa el signo menor que y > el signo mayor que. Son útiles cuando quieres que una secuencia parezca texto en una página, en vez de que el navegador intente leerla como parte del marcado HTML.

La necesidad nace de la propia sintaxis. El signo menor que abre las etiquetas y el ampersand inicia referencias de caracteres; por eso escribir código, comparaciones o fragmentos de marcado como contenido exige tratar esos símbolos con cuidado. El estándar HTML define muchos nombres de referencias, pero no necesitas memorizarlos para resolver el caso habitual: identifica el contexto, transforma el texto que irá allí y comprueba el resultado renderizado.

Cuándo conviene escapar caracteres

Escapa una cadena cuando debe mostrarse literalmente dentro del contenido de una página. Es frecuente en una guía técnica que enseña una etiqueta, en una respuesta de soporte que incluye una comparación o en una plantilla que guarda un fragmento para pegar después. Si quieres enseñar <section> sin que se convierta en un elemento de la página, necesitas que los signos de la etiqueta lleguen como texto escapado.

No confundas escapar HTML con codificar una URL, convertir a Base64 o formatear JSON. Cada operación tiene un destino distinto. Una URL usa reglas de componentes de URL; JSON tiene sus propias secuencias y Base64 cambia la representación de datos. Elegir una transformación por el nombre que parece más técnico puede dejar el texto ilegible o producir una salida inválida en el sistema que la recibe.

Cómo usar Entidades HTML con un ejemplo reproducible

Abre Entidades HTML de Nítido Tools, pega el texto en Entrada y pulsa Procesar. La herramienta reemplaza exactamente tres caracteres: & por &amp;, < por &lt; y > por &gt;. Después puedes copiar el cuadro Resultado. No hay selector de modo ni opción de restaurar texto: el flujo disponible es el escape de esos tres símbolos y conviene partir de ese límite al preparar una plantilla o una prueba.

Prueba con esta entrada limpia: Estado: A & B < C > D. El resultado debe ser Estado: A &amp; B &lt; C &gt; D. Puedes repetir la prueba en una página de ensayo que inserte el resultado como HTML o en el destino real donde vayas a publicar el texto. Si allí se muestra “Estado: A & B < C > D” como una frase y no aparecen etiquetas ni caracteres inesperados, la transformación encaja con ese uso.

Haz siempre esta comprobación pequeña antes de procesar una lista larga o de integrarlo en un contenido. Revisa que no has pegado una versión anterior y que los tres cambios son los esperados. Si el destino guarda texto plano, quizá quieras conservar el original; escapar solo aporta sentido cuando el receptor interpreta HTML. Entidades HTML agiliza el reemplazo, pero no sabe dónde vas a pegar la cadena ni puede validar el comportamiento de otra aplicación.

Lo que la herramienta no hace

El nombre de la herramienta no implica que cubra todas las entidades HTML. No convierte tildes, símbolos matemáticos, comillas ni apóstrofes a referencias; tampoco genera equivalentes numéricos. En particular, una comilla doble sigue siendo una comilla doble. Eso puede ser correcto al mostrar texto en un nodo de contenido, pero no basta necesariamente si vas a construir el valor de un atributo HTML entre comillas.

Tampoco desescapa ni restaura una cadena ya escapada. Si pegas &lt;div&gt;, el ampersand se convierte primero en &amp; y la salida será &amp;lt;div&amp;gt;. No es un error de la herramienta: es la consecuencia de que solo aplica sustituciones de escape. Conserva la fuente sin transformar si más adelante necesitas el texto original o usa un proceso de decodificación explícito que sea adecuado para tu caso.

Sobre todo, escapar estos tres caracteres no es sanitizar contenido ni una defensa completa frente a entradas no fiables. La herramienta no entiende contexto: no analiza atributos, JavaScript, CSS, URLs ni reglas de permisos. No uses su salida como sustituto de una política de seguridad, de un sanitizador mantenido o de la codificación específica que exija el lugar donde insertas datos de terceros.

Errores habituales al escapar HTML

El primer error es escapar dos veces sin pretenderlo. Puede ocurrir cuando una plataforma ya convierte < en &lt; y vuelves a pasar su salida por Entidades HTML. El texto final mostrará secuencias como &lt; en vez del signo menor que esperado. Para evitarlo, anota qué sistema hace la transformación y mantén una copia original. Procesa una única vez justo antes del punto que realmente necesita HTML escapado.

Otro fallo es llamar “etiqueta escapada” a cualquier texto entre signos menor que y mayor que. Si lo colocas en un editor visual, una vista previa o un atributo, el resultado puede cambiar por las reglas de ese contexto. Comprueba la página publicada o el componente final, no solo el cuadro de resultado. También revisa que los saltos de línea, espacios y comillas sigan donde deben: Entidades HTML no los normaliza ni los corrige.

Por último, no confundas que una cadena se vea inofensiva con que sea segura. Un campo de formulario puede terminar en HTML, en una URL o en código de cliente según el flujo de tu proyecto. Define el destino antes de transformar, aplica la codificación propia de ese destino y trata el escape de Entidades HTML como una operación concreta, limitada a &amp;, < y >.

Privacidad local y revisión final

Entidades HTML de Nítido Tools procesa el texto en el navegador: introduces la cadena, el código aplica las sustituciones y el resultado queda en la interfaz para copiarlo. No necesitas crear una cuenta ni enviar el contenido a un servidor de Nítido Tools para ejecutar ese reemplazo. Aun así, evita pegar secretos, credenciales o datos personales que no necesites usar; el procesamiento local no convierte una mala práctica de manejo de datos en una buena.

Antes de usar la salida, compárala con el original, pega un fragmento corto en el destino previsto y abre la vista previa resultante. Busca exactamente &amp;, &lt; y &gt; donde esperas que aparezcan en el código fuente, y el carácter normal donde esperas que se vea al lector. Guarda el original separado de la versión escapada. Esa prueba de ida y vuelta reduce errores de doble escape y te obliga a comprobar el único contexto que la herramienta no puede conocer: el tuyo.

Preguntas frecuentes

¿Qué caracteres escapa exactamente Entidades HTML?

Solo &, < y >. Convierte cada uno en &amp;, &lt; y &gt; respectivamente; no modifica comillas, apóstrofes ni otros símbolos.

¿La herramienta puede desescapar &amp;lt; o &amp;gt;?

No. La implementación disponible solo escapa. Si introduces una entidad existente, escapará su ampersand y producirás una salida doblemente escapada.

¿Escapar texto con esta herramienta evita cualquier problema de seguridad?

No. No sanitiza HTML ni conoce si el texto se insertará en contenido, atributos, URLs, CSS o JavaScript. Usa una medida adecuada al contexto y revisa la integración.

¿Se envía mi texto a un servidor?

No para procesarlo con Entidades HTML: el reemplazo se ejecuta localmente en el navegador. Tú decides después si copias o compartes la salida en otro servicio.