Decodificar Base64URL, com preenchimento e tudo.

O Base64 padrão usa + e /, que têm significado em URLs e nomes de arquivos, e completa com =, que precisa ser codificado com porcentagem numa query string. O Base64URL, definido na seção 5 da RFC 4648, troca só esses caracteres para que o valor viaje numa URL sem alterações:

Os outros 62 caracteres são idênticos, então a conversão é uma simples troca de caracteres mais o preenchimento.

Muitos decodificadores estritos rejeitam entradas sem preenchimento. A regra para recolocá-lo depende só do tamanho da string módulo 4:

• resto 0 — não precisa de preenchimento;
• resto 2 — adicione ==;
• resto 3 — adicione =;
• resto 1 — impossível em Base64 válido: o valor está truncado.

Este decodificador aplica a regra para você e avisa quando o valor está truncado, em vez de devolver lixo em silêncio.

• JSON Web Tokens — o cabeçalho, o payload e a assinatura são três segmentos base64url unidos por pontos. A assinatura é exibida, mas não verificada, porque isso exige a chave.
• WebAuthn e passkeys — desafios, IDs de credencial e dados do cliente.
• OAuth PKCE — o code_challenge é um digest SHA-256 em base64url.
• API do Gmail — corpos de mensagens e anexos são codificados em base64url.
• IDs curtos e tokens em URLs, cookies e nomes de arquivos.

# Python: urlsafe_b64decode still needs the padding back
import base64
def b64url_decode(s: str) -> bytes:
    return base64.urlsafe_b64decode(s + "=" * (-len(s) % 4))

// Node.js 16+
Buffer.from(token, "base64url").toString("utf8");

// Go
base64.RawURLEncoding.DecodeString(s)

// Java 8+: the URL decoder accepts unpadded input
Base64.getUrlDecoder().decode(s);

Para Base64 padrão e mais linguagens, veja a página principal para decodificar Base64.