الأحرف الرئيسية هي < إلى &lt;، و > إلى &gt;، و & إلى &amp;، وعلامة الاقتباس المزدوجة إلى &quot;، وعلامة الاقتباس المفردة إلى &#39;. ويمنع ترميز هذه الأحرف المتصفح من تفسيرها كترميز.

بتحويل أحرف مثل < و > إلى كيانات، يعرضها المتصفح كنص حرفي بدلًا من تنفيذها كوسوم أو نصوص برمجية. ويُعد ترميز الإدخال غير الموثوق قبل إدراجه في الصفحة دفاعًا أساسيًا ضد XSS.

يستبدل الترميز الأحرف الخاصة بمكافئاتها من كيانات HTML بحيث تُعرَض بأمان كنص. أما فك الترميز فيقوم بالعكس، إذ يحوّل كيانات مثل &lt; مرة أخرى إلى الأحرف الأصلية مثل <.

لا. يحدث الترميز وفك الترميز محليًا داخل متصفحك، لذا فإن النص و HTML اللذين تلصقهما لا يُرسَلان أبدًا إلى خادم.