Base64 adalah salah satu pengkodean teks yang paling banyak digunakan dalam komputasi modern — ia muncul dalam lampiran email, URI data, token OAuth, respons API, perpustakaan kriptografi, dan banyak tempat lainnya. Meskipun hal tersebut ada di mana-mana, banyak pengembang tidak pernah memikirkan secara hati-hati tentang cara kerjanya, varian apa yang mereka gunakan, atau jaminan apa yang diberikan dan tidak diberikannya. Bagian di bawah ini membahas sejarah asal muasal infrastruktur email Base64 pada tahun 1990-an, mekanisme cara kerja pengkodean sedikit demi sedikit, dan panduan praktis mengenai kapan Base64 adalah alat yang tepat dan kapan disalahgunakan.
Mengapa Base64 Ada: Masalah Email tahun 1990-an
Base64 distandarisasi pada tahun 1993 sebagai bagian dari spesifikasi MIME (RFC 1421 dan yang lebih baru RFC 2045), namun masalah mendasarnya sudah ada sejak lama: protokol email dari tahun 1970-an dan 1980-an mengasumsikan setiap byte dalam pesan adalah karakter ASCII 7-bit yang dapat dicetak, karena server SMTP dan router pada era tersebut akan menghapus atau merusak byte mana pun dengan kumpulan bit tinggi. Ini berfungsi dengan baik untuk teks berbahasa Inggris tetapi tidak ada harapan untuk lampiran biner apa pun — gambar, file yang dapat dieksekusi, teks non-ASCII, apa pun. MIME memperkenalkan beberapa pengkodean untuk menyelesaikan masalah ini (Quoted-Printable untuk sebagian besar konten teks, Base64 untuk biner arbitrer), dan Base64 dengan cepat menjadi pilihan dominan karena menangani urutan byte apa pun tanpa kasus khusus. Masalah tahun 1990-an telah digeneralisasikan ke setiap protokol yang mengharapkan teks: menyimpan data biner dalam dokumen JSON atau XML, menyematkan biner dalam URL, meneruskan biner melalui saluran pipa shell, menulis biner ke dalam kode sumber sebagai string literal. Dalam setiap kasus, Base64 adalah pilihan yang aman karena hanya menggunakan 64 karakter yang ditangani secara identik oleh setiap sistem teks. Biayanya adalah 33% dari ukuran overhead, yang merupakan trade-off yang melekat pada keamanan teks.
Bagaimana Pengkodean Sebenarnya Bekerja
Base64 beroperasi pada grup yang terdiri dari 3 byte masukan (24 bit) sekaligus, membagi 24 bit tersebut menjadi 4 grup yang masing-masing terdiri dari 6 bit, dan memetakan setiap grup 6-bit ke satu karakter dari alfabet 64 karakter (A–Z, a–z, 0–9, ditambah `+` dan `/` dalam Base64 standar, atau `-` dan `_` dalam aman URL). 6 bit dapat mewakili 64 nilai (2⁶), dari situlah namanya berasal. Jika panjang input bukan kelipatan 3 byte, grup terakhir diisi dengan bit nol dan output diisi dengan karakter `=` untuk mempertahankan penyelarasan 4 karakter: 1 byte sisa menghasilkan 2 karakter output ditambah `==`, dan 2 byte sisa menghasilkan 3 karakter output ditambah `=`. Penguraian kode membalikkan proses: padding `=` dihilangkan, 4 karakter keluaran dikelompokkan bersama dan dipetakan kembali menjadi 24 bit, dan 24 bit tersebut dibagi kembali menjadi 3 byte keluaran. Beberapa variasi umum memperluas skema dasar ini: Base64url (tanpa padding, alfabet aman untuk URL), Base64 dengan pembungkus baris sebanyak 64 atau 76 karakter untuk kompatibilitas MIME, dan Base32 atau Base16 untuk kasus penggunaan di mana alfabet yang lebih sempit memberikan keuntungan (penyimpanan tidak peka huruf besar-kecil, deteksi kesalahan).
Kapan Base64 Merupakan Alat yang Tepat — dan Kapan Bukan
Base64 adalah pilihan yang tepat ketika Anda perlu menyematkan data biner dalam media teks saja: gambar sebaris dalam HTML atau CSS melalui URI data, muatan biner dalam JSON atau XML, token OAuth dan cookie yang ditandatangani, lampiran biner dalam email, kunci kriptografi yang tertanam dalam file konfigurasi. Dalam semua kasus ini, alternatifnya adalah meloloskan diri dari shell (rapuh) atau menghindari konten biner sepenuhnya (membatasi). Base64 adalah alat yang salah untuk tiga penyalahgunaan umum. Pertama, Base64 bukanlah enkripsi — siapa pun yang memiliki string yang disandikan dapat dengan mudah mendekodekannya dalam milidetik menggunakan alat apa pun termasuk yang ini. Jangan pernah menggunakan Base64 untuk melindungi data sensitif; gunakan enkripsi yang tepat seperti AES-GCM atau ChaCha20-Poly1305 untuk kerahasiaan dan hashing kata sandi yang tepat seperti bcrypt atau Argon2 untuk kredensial. Kedua, Base64 bukan kompresi — ini menambah 33% overhead daripada mengurangi ukuran. Untuk mentransfer file besar secara efisien, gunakan kompresi gzip atau brotli sebelum Base64 (jika Base64 diperlukan di hilir) atau lewati Base64 sepenuhnya jika pengangkutan sudah aman untuk biner. Ketiga, Base64 bukanlah hal yang membingungkan untuk tujuan keamanan — menyembunyikan URL atau kunci API di Base64 di dalam JavaScript sisi klien tidak memberikan perlindungan apa pun terhadap penyerang mana pun yang membuka alat pengembang browser. Jika ini penting bagi keamanan, Base64 mungkin bukan lapisan yang tepat untuk memikirkannya.