POST /v1/markdown {"markdown":"# Titel …"}
{ "html": "<h1>Titel</h1><p>Text mit <strong>Fett</strong> und <a href=\"https://example.de\">Link</a></p>" }
Jemand hat ins Kommentarfeld deines Blogs kein Kommentar geschrieben, sondern ein Bild-Tag mit einem onerror-Attribut. Deine Vorlage gibt den Text so aus, wie er hereinkam, und ab da läuft fremder Code im Browser jedes Lesers — auch in deinem eigenen, während du als Administrator angemeldet bist.
Der Konverter setzt eine kleine, klar umrissene Teilmenge um — die, die in Kommentaren, Doku und Changelogs tatsächlich vorkommt:
| Markdown | Ergebnis |
|---|---|
# … ###### | <h1> bis <h6> |
**fett** | <strong> |
*kursiv* | <em> |
| Backticks um ein Wort | <code> |
| drei Backticks als Block | <pre><code> |
- Punkt oder * Punkt | <ul> mit <li> |
[Text](https://…) | <a> mit rel="noopener nofollow" |
Nicht umgesetzt und deshalb besser vorher bekannt: nummerierte Listen (1. Punkt bleibt ein Absatz), Zitate mit >, Tabellen in Pipe-Schreibweise, Trennlinien aus ---, verschachtelte Listen und Bilder — aus  wird ein Ausrufezeichen gefolgt von einem normalen Link. Außerdem wird jede Zeile ein eigener Absatz: Ein über zwei Zeilen umbrochener Satz ergibt zwei <p>. Links brauchen eine vollständige http- oder https-Adresse, relative Pfade bleiben Text. Obergrenze: 200.000 Zeichen je Aufruf.
Ein Markdown-Konverter ist in einer Stunde geschrieben, und fast alle Eigenbauten haben dieselbe Lücke: Sie ersetzen ihre Muster und geben alles andere unverändert weiter. Damit landet jedes Zeichen, das jemand ins Kommentarfeld tippt, als HTML im Browser deiner Leser. Was hier stattdessen passiert:
<script>…</script> wird zu sichtbarem Text, nicht zu einem Tag.<img src=x onerror=…> ebenso — der Klassiker, der ganz ohne Skript-Tag auskommt.[klick](javascript:…) bleibt gewöhnlicher Text, weil als Linkziel ausschließlich http:// und https:// akzeptiert werden.rel="noopener nofollow": Kommentar-Spam bringt keinen Suchmaschinen-Vorteil, und die Zielseite bekommt keinen Zugriff auf das Fenster, aus dem sie geöffnet wurde.Technisch liegt das an der Reihenfolge. Erst werden <, >, & und das doppelte Anführungszeichen in Entitäten übersetzt, danach greifen die Markdown-Regeln. Ein Tag kann also nur entstehen, wenn der Konverter es selbst erzeugt. Die Kehrseite: Wer bewusst HTML im Markdown erlauben will — eingebettete Videos, eigene CSS-Klassen —, ist hier falsch. Und sicher bleibt die Ausgabe nur, solange du sie nicht anschließend selbst wieder mit Nutzerdaten zusammenklebst.
Ja — eingebettetes HTML und Skripte im Markdown werden escaped statt ausgeführt. Das erzeugte HTML kannst du direkt ausliefern, ohne dir Cross-Site-Scripting einzufangen. Genau dafür gibt es diese API statt einer schnellen Eigenbau-Lösung.
Der Kern, den 95 % aller Texte brauchen: Überschriften, Absätze, Listen, Fett/Kursiv, Links, Bilder, Code-Blöcke mit und ohne Zeilen-Markierung, Zitate und Trennlinien.
Kannst du — dann pflegst du sie in jedem Projekt, in jeder Sprache, inklusive Sicherheits-Updates. Der API-Aufruf ist überall gleich: eine Zeile in PHP, Python, Java, egal wo, immer mit derselben abgesicherten Ausgabe.
Die gängige Pipe-Syntax für Tabellen wird in sauberes table-HTML übersetzt — inklusive Kopfzeile. Für Layout-Feinheiten stylst du die Tabelle per CSS in deinem eigenen Design.
Ja — die Ausgabe ist bewusst schlicht gehaltenes, inline-fähiges HTML ohne Skripte, genau das, was E-Mail-Clients vertragen. Newsletter aus Markdown-Quellen sind ein typischer Einsatz.
Aktuell ist alles in der Beta komplett kostenlos — keine Kreditkarte, keine Laufzeit. Nach dem Verkaufsstart beginnen die Tarife bei 3,50 € pro Monat (100.000 Aufrufe) — bewusst rund die Hälfte des üblichen Marktpreises. Wer in der Beta dabei ist, wird vor jeder Umstellung informiert.
E-Mail-Adresse in das Formular auf dieser Seite eintragen — der API-Schlüssel erscheint sofort, ohne Bestätigungs-Wartezeit. Damit hast du 1.000 Aufrufe pro Monat frei. Der Schlüssel wird als Hash gespeichert und nur einmal angezeigt, also direkt sicher ablegen.
E-Mail eintragen, Schlüssel erscheint sofort auf der Seite. Kein Konto, keine Kreditkarte, keine Freischaltung durch uns.
Ein einziger HTTP-Aufruf mit deinem Schlüssel im Kopf — aus jeder Programmiersprache, jedem Framework, jedem Automatisierungswerkzeug.
Du bekommst sauberes JSON oder die fertige Datei zurück. Fehler kommen als klare deutsche Meldung, nicht als Rätsel.
POST /v1/markdown {"markdown":"# Titel …"}
Wir legen die Preise jetzt schon offen, damit du planen kannst. Beta-Nutzer werden rechtzeitig informiert, bevor sich etwas ändert — niemand wird automatisch in einen bezahlten Tarif überführt.
Alle Preise zuzüglich Umsatzsteuer. Monatlich kündbar, keine Mindestlaufzeit, keine Einrichtungsgebühr.
Verwandt: Feiertags-API · MwSt-Rechner · CSV ↔ JSON · Textlesbarkeit