Mode d’emploi
- Choisissez le nombre d’octets aléatoires que doit contenir chaque jeton. 32 octets (256 bits) constituent une valeur par défaut sûre pour les secrets.
- Choisissez un encodage adapté à l’utilisation prévue du jeton et ajoutez éventuellement un préfixe, comme « myapp_live_ ».
- Indiquez le nombre de jetons souhaité, puis copiez-en un ou cliquez sur « Tout copier ». Cliquez sur « Générer à nouveau » pour obtenir un nouveau jeu.
Fonctionnement
Les jetons sont générés à partir d’octets aléatoires produits par crypto.getRandomValues, le générateur cryptographiquement sûr intégré à votre navigateur et à votre système d’exploitation. Math.random n’est jamais utilisé.
Pour les formats hexadécimal, Base64 et Base64URL, l’outil prend exactement le nombre d’octets choisi et les encode. Un jeton de 32 octets possède donc toujours une entropie de 256 bits : 64 caractères hexadécimaux, 44 caractères Base64 (dont un = de remplissage) ou 43 caractères Base64URL. Base64URL remplace + et / par - et _ et supprime le remplissage ; le format peut ainsi être utilisé dans les URL, les noms de fichiers et les en-têtes HTTP sans échappement.
Les jetons alphanumériques utilisent uniquement les caractères A–Z, a–z et 0–9, ce qui évite les caractères que certains systèmes traitent de manière spéciale. Chaque caractère apporte environ 5,95 bits. L’outil génère donc suffisamment de caractères pour atteindre au moins le nombre de bits choisi (43 caractères pour 256 bits). Les caractères sont sélectionnés par échantillonnage avec rejet afin que les 62 aient tous la même probabilité d’être choisis.
Le préfixe est ajouté en texte brut et n’apporte aucune entropie. Les préfixes comme « sk_live_ » facilitent la reconnaissance des clés divulguées et leur détection par les scanners de secrets. Stockez vos secrets dans un gestionnaire de mots de passe ou un coffre-fort de secrets, et non dans le code source.
Exemples
Un secret de signature pour webhook
32 octets au format hexadécimal donnent un secret de 64 caractères avec une entropie de 256 bits. Vous pouvez le copier dans la configuration de l’émetteur et du récepteur pour signer des requêtes avec HMAC-SHA-256.
Une clé API avec un préfixe reconnaissable
Choisissez 24 octets, le format Alphanumérique et le préfixe « acme_live_ ». Chaque clé se présente sous la forme acme_live_ suivie de 33 lettres et chiffres, possède au moins 192 bits d’entropie et se repère facilement dans les journaux ou avec un scanner de secrets.
Un jeton de réinitialisation compatible avec les URL
16 octets au format Base64URL donnent un jeton de 22 caractères (128 bits), utilisable directement dans un lien tel que /reset?token=… sans encodage en pourcentage.
Foire aux questions
Combien d’octets un secret doit-il contenir ?
128 bits (16 octets) suffisent à rendre impossibles les tentatives de deviner des jetons comme les identifiants de session. Pour les secrets à longue durée de vie, comme les clés de signature, 256 bits (32 octets) est la recommandation courante et correspond à la taille de sortie de SHA-256.
Quel encodage choisir ?
L’entropie est la même pour un nombre d’octets donné ; seule la représentation textuelle change. Utilisez le format hexadécimal pour une compatibilité maximale, Base64URL pour des jetons courts dans les URL et les en-têtes, et le format alphanumérique si un système refuse la ponctuation.
Les jetons sont-ils stockés ou consignés ?
Non. Ils sont générés dans cet onglet du navigateur et disparaissent lorsque vous quittez la page. Ils ne sont ni envoyés à un serveur ni inclus dans les données d’analyse.
Puis-je utiliser ces jetons comme mots de passe ?
Oui, ils sont suffisamment aléatoires, mais les sites exigent souvent un mélange de types de caractères. Le Générateur de mots de passe vous permet de définir ces règles directement.
Confidentialité
Les jetons sont générés dans votre navigateur avec crypto.getRandomValues. Ils ne sont ni téléversés, ni stockés, ni consignés, ni envoyés aux outils d’analyse ; seul un événement anonyme indiquant l’utilisation de l’outil est enregistré.