كيفية الاستخدام
- اختر عدد البايتات العشوائية التي يحتوي عليها كل رمز. يُعدّ 32 بايتًا (256 بت) خيارًا افتراضيًا آمنًا للأسرار.
- اختر ترميزًا يناسب موضع استخدام الرمز، وأضف بادئة اختياريًا مثل “myapp_live_”.
- حدّد عدد الرموز التي تحتاج إليها، ثم انسخ أحدها أو استخدم «نسخ الكل». اضغط على «إنشاء مجددًا» للحصول على مجموعة جديدة.
كيف تعمل الأداة
تُنشأ الرموز من بايتات عشوائية تنتجها crypto.getRandomValues، وهي أداة التوليد الآمنة تشفيريًا والمدمجة في متصفحك ونظام التشغيل. لا تُستخدم Math.random مطلقًا.
في تنسيقات hex وBase64 وBase64URL، تستخدم الأداة العدد الذي تختاره بالضبط من البايتات ثم ترمّزه؛ لذلك يحتوي الرمز المؤلف من 32 بايتًا دائمًا على 256 بت من العشوائية: 64 حرفًا بتنسيق hex، أو 44 حرفًا بتنسيق Base64 (بما في ذلك علامة = واحدة للحشو)، أو 43 حرفًا بتنسيق Base64URL. يستبدل Base64URL الرمزين + و/ بالرمزين - و_ ويحذف الحشو، ما يتيح استخدامه في عناوين URL وأسماء الملفات وترويسات HTTP دون الحاجة إلى تهريب المحارف.
تستخدم الرموز الأبجدية الرقمية الأحرف A–Z وa–z والأرقام 0–9 فقط، لتجنب المحارف التي تتعامل معها بعض الأنظمة على نحو خاص. يوفر كل محرف نحو 5.95 بت، لذا تنشئ الأداة عددًا كافيًا من المحارف لبلوغ عدد البتات الذي اخترته على الأقل (43 محرفًا لـ 256 بت). ويُستخدم أسلوب أخذ العينات بالرفض لاختيار المحارف، بحيث تكون احتمالية اختيار كل واحد من المحارف الـ 62 متساوية.
تُضاف البادئة كنص عادي ولا تزيد العشوائية. تجعل البادئات مثل “sk_live_” المفاتيح المسربة أسهل تمييزًا والعثور عليها باستخدام أدوات فحص الأسرار. خزّن الأسرار في مدير كلمات مرور أو مخزن أسرار، لا في الشيفرة المصدرية.
أمثلة
سر توقيع خطاف ويب
ينتج عن استخدام 32 بايتًا بتنسيق hex سرّ مؤلف من 64 محرفًا وبعشوائية قدرها 256 بت، ويمكنك نسخه إلى إعدادات كل من المرسل والمستقبِل لتوقيعات HMAC-SHA-256.
مفتاح API ببادئة يسهل تمييزها
اختر 24 بايتًا، وتنسيق Alphanumeric، والبادئة “acme_live_”. سيبدو كل مفتاح بالشكل acme_live_ متبوعًا بـ 33 حرفًا ورقمًا، وسيحتوي على 192 بت على الأقل، كما يسهل تمييزه في السجلات أو باستخدام أداة فحص الأسرار.
رمز إعادة تعيين آمن للاستخدام في URL
ينتج عن استخدام 16 بايتًا بتنسيق Base64URL رمز مؤلف من 22 محرفًا (128 بت) يمكن إدراجه مباشرةً في رابط مثل /reset?token=… دون ترميز النسبة المئوية.
الأسئلة الشائعة
كم بايتًا ينبغي أن يحتوي السر؟
يكفي 128 بتًا (16 بايتًا) لجعل تخمين الرموز مثل معرّفات الجلسات مستحيلًا. أما الأسرار طويلة الأمد، مثل مفاتيح التوقيع، فالتوصية الشائعة هي 256 بتًا (32 بايتًا)، وهو ما يطابق حجم مخرجات SHA-256.
أي ترميز أختار؟
تظل العشوائية كما هي للعدد نفسه من البايتات؛ وما يختلف هو الصيغة النصية فقط. استخدم hex لأقصى قدر من التوافق، وBase64URL للرموز القصيرة في عناوين URL والترويسات، والتنسيق الأبجدي الرقمي عندما يرفض النظام علامات الترقيم.
هل تُخزَّن الرموز أو يُسجَّل استخدامها؟
لا. تُنشأ الرموز في علامة التبويب الحالية بالمتصفح، وتختفي عند مغادرة الصفحة. ولا تُرسل إلى أي خادم أو تُضمّن في بيانات التحليلات.
هل يمكنني استخدام هذه الرموز كلمات مرور؟
نعم، فهي عشوائية بما يكفي، لكن المواقع غالبًا ما تشترط مزج أنواع مختلفة من الأحرف. تتيح لك أداة إنشاء كلمات المرور ضبط هذه القواعد مباشرةً.
الخصوصية
تُنشأ الرموز في متصفحك باستخدام crypto.getRandomValues. ولا تُرفع أو تُخزَّن أو يُسجَّل استخدامها أو تُرسل إلى التحليلات؛ ويُسجَّل فقط حدث مجهول يفيد باستخدام الأداة.