URL Encoder/Decoder

Konversi teks apa pun ke pengodean persen yang aman untuk URL secara instan. Pengenkode kami menangani spasi, karakter khusus, Unicode, dan emoji.

Pilih antara:

• pengodean komponen (untuk nilai kueri)
• pengodean URI (mempertahankan struktur URL)
• pengodean data formulir (+ untuk spasi)

Dekode URL terenkode persen apa pun kembali ke teks yang dapat dibaca. Tempel URL terenkode, string kueri, atau parameter individu dan lihat teks aslinya secara instan.

Menangani:

• urutan %HH
• tanda plus sebagai spasi
• karakter UTF-8 multi-byte

Pengodean URL bekerja dengan mengganti setiap karakter yang tidak aman atau terpesan dalam URL dengan tanda persen diikuti dua digit heksadesimal yang mewakili nilai byte karakter tersebut, sebuah skema yang didefinisikan secara resmi dalam RFC 3986 oleh IETF.

Spasi menjadi %20, ampersand menjadi %26, dan garis miring menjadi %2F. Karakter non-ASCII terlebih dahulu dikonversi ke urutan byte UTF-8, kemudian setiap byte dienkode persen, sehingga huruf 'é' menjadi %C3%A9.

Menurut MDN Web Docs, peramban menerapkan ini secara otomatis melalui fungsi seperti encodeURIComponent. Hanya karakter tidak terpesan (A-Z, a-z, 0-9, tanda hubung, garis bawah, titik, tilde) yang dibiarkan tanpa diubah.

encodeURI mengenkode seluruh URL sambil mempertahankan karakter struktural terpesan, sedangkan encodeURIComponent mengenkode satu komponen dan juga mengubah karakter struktural tersebut.

Sebagaimana didokumentasikan oleh MDN Web Docs, encodeURI membiarkan :, /, ?, #, &, dan = tetap utuh sehingga seluruh alamat tetap berfungsi, menjadikannya tepat untuk URL lengkap. encodeURIComponent mengubah segalanya kecuali set karakter tidak terpesan RFC 3986, sehingga merupakan pilihan yang tepat untuk nilai parameter kueri, segmen jalur, atau teks fragmen yang mungkin berisi karakter terpesan.

Menggunakan encodeURI saat encodeURIComponent dibutuhkan adalah bug umum: karakter & tanpa enkode di dalam nilai akan salah dibaca sebagai pemisah parameter, yang secara tidak langsung merusak permintaan.

RFC 3986 membagi karakter URL menjadi set terpesan dan tidak terpesan, dan perbedaan ini menentukan apa yang akan dienkode persen.

• Karakter tidak terpesan adalah huruf A-Z dan a-z, angka 0-9, serta empat tanda: tanda hubung, garis bawah, titik, dan tilde; karakter ini tidak pernah memerlukan pengodean.
• Karakter terpesan mencakup pembatas umum : / ? # [ ] @ dan pembatas tingkat kedua ! $ & ' ( ) * + , ; = yang memiliki makna sintaksis.

Sesuai spesifikasi IETF, karakter terpesan dapat muncul tanpa enkode ketika menjalankan perannya sebagai pembatas, tetapi harus dienkode persen ketika digunakan secara harfiah di dalam komponen. Semua hal di luar kedua set tersebut, termasuk spasi dan Unicode, harus selalu dienkode.

URL menggunakan %20 untuk spasi karena karakter spasi tidak diizinkan muncul secara harfiah di dalam URI berdasarkan RFC 3986, sehingga di-percent-encode menjadi nilai bita ASCII-nya, yaitu heksadesimal 20.

Ada konvensi kedua: pada data application/x-www-form-urlencoded—format yang digunakan dalam pengiriman formulir HTML dan berbagai query string—spasi dikodekan sebagai tanda plus (+) alih-alih %20, sebagaimana ditentukan oleh Standar URL WHATWG dan spesifikasi formulir W3C.

Inilah alasan mengapa dekoder harus memahami konteksnya. %20 aman secara universal pada path, query, dan fragmen, sedangkan + hanya bermakna spasi di dalam data query form-encoded dan diperlakukan sebagai tanda plus harfiah di tempat lainnya.

URL encoding menangani Unicode dengan terlebih dahulu mengonversi setiap karakter menjadi urutan bita UTF-8, lalu melakukan percent-encoding pada setiap bita tersebut. Unicode Consortium mendefinisikan code point-nya, dan UTF-8 (ditetapkan dalam RFC 3629) memetakannya menjadi satu hingga empat bita.

Sebagai contoh:

• Karakter ASCII satu bita seperti 'A' tetap menjadi 'A'
• 'é' dikodekan menjadi %C3%A9
• karakter CJK '日' menjadi %E6%97%A5
• emoji seperti 😀 dikodekan menjadi empat bita, %F0%9F%98%80

MDN Web Docs mencatat bahwa fungsi encodeURIComponent di JavaScript secara default beroperasi pada UTF-8. Dekoder membalikkan proses ini dengan mengumpulkan bita-bita yang di-percent-encode dan menafsirkannya kembali sebagai stream UTF-8 untuk mengembalikan teks aslinya.

Double encoding terjadi ketika string yang sudah di-percent-encode dikodekan kembali, mengubah setiap % menjadi %25 sehingga %20 berubah menjadi %2520 dan nilainya tidak lagi terbaca dengan benar.

Hal ini kerap menjadi penyebab tautan rusak dan, menurut OWASP, menjadi celah keamanan karena penyerang memanfaatkan double encoding untuk meloloskan input berbahaya dari filter yang hanya melakukan dekode satu kali.

Untuk menghindarinya, lakukan encoding tepat satu kali saat nilai dimasukkan ke dalam URL, dan jangan pernah mengodekan ulang data yang berasal dari sumber yang sudah terenkode. Jika Anda ragu apakah suatu string sudah terkode atau belum, lakukan dekode terlebih dahulu; jika hasilnya berubah dan tampak terbaca, berarti string tersebut memang sudah terkode dan Anda tidak perlu mengodekannya lagi.

URL encoding tidaklah aman dan tidak memberikan kerahasiaan data; proses ini hanyalah transformasi dua arah demi keamanan transmisi data, bukan enkripsi. Siapa pun dapat mendekode string percent-encoded dalam sekejap, sehingga data sensitif di dalam URL tetap dapat terbaca sepenuhnya dan, seperti yang diperingatkan oleh OWASP, juga terekspos di riwayat peramban, log server, serta header Referer.

Encoding hanya memastikan karakter khusus tidak merusak sintaksis URL. Sebaliknya, enkripsi menggunakan kunci dan algoritma seperti AES (distandardisasi oleh NIST) agar data tidak dapat dibaca tanpa kunci tersebut.

Penggunaan encoding yang tepat dari segi keamanan adalah menggabungkannya dengan output escaping yang benar untuk mencegah serangan injeksi; jangan pernah menganggapnya sebagai cara untuk menyembunyikan atau melindungi informasi.

Untuk mengodekan query string dengan benar, terapkan encodeURIComponent pada setiap key dan nilai parameter secara terpisah sebelum menggabungkannya dengan & dan =, alih-alih mengodekan seluruh string yang sudah dirangkai sekaligus.

Langkah ini memastikan bahwa karakter khusus (reserved characters) di dalam nilai, seperti & atau = pada input pengguna, di-escape menjadi %26 dan %3D agar tidak disalahartikan sebagai pemisah, sesuai dengan aturan application/x-www-form-urlencoded dalam Standar URL WHATWG. Sebagai contoh, nilai 'hello world&x=1' harus diubah menjadi 'hello%20world%26x%3D1'.

Berdasarkan MDN Web Docs, API URLSearchParams dapat mengotomatisasi proses ini secara aman. Selalu lakukan encoding pada data dari pengguna sebelum memasukkannya ke dalam query string untuk mencegah injeksi parameter dan request yang cacat (malformed).

Kesalahan paling umum dalam URL encoding adalah memilih fungsi yang salah: menggunakan encodeURI pada nilai query membuat &, =, dan ? tidak di-escape, sehingga input pengguna dapat merusak struktur URL.

Kesalahan umum lainnya, yang beberapa di antaranya disorot oleh OWASP dan MDN Web Docs, meliputi:

• double encoding pada suatu nilai sehingga %20 menjadi %2520
• lupa bahwa tanda + hanya berarti spasi pada data form-encoded
• mengodekan seluruh URL setelah selesai dibuat, alih-alih mengodekan setiap komponennya terlebih dahulu

Pengembang juga kerap salah menangani UTF-8 dengan mendekode bita sebagai Latin-1, yang memicu mojibake pada teks beraksen dan non-Latin. Terakhir, jangan pernah mengandalkan encoding untuk keamanan; kegagalan melakukan escaping output sesuai konteks target tetap membuka celah kerentanan injeksi meski percent-encoding yang digunakan valid.