איך להשתמש בו
- בחר כמה בתים אקראיים כל אסימון צריך להכיל. 32 בתים (256 סיביות) הוא ברירת מחדל בטוחה לסודות.
- בחר קידוד שמתאים למקום שבו ישמש האסימון, ואם תרצה הוסף תחילית כגון “myapp_live_”.
- קבע כמה אסימונים אתה צריך, ואז העתק אחד או השתמש ב״העתק הכל״. לחץ על ״צור שוב״ לקבלת קבוצה חדשה.
איך זה עובד
האסימונים נוצרים מבייטים אקראיים שמייצר crypto.getRandomValues, המחולל המאובטח קריפטוגרפית המובנה בדפדפן ובמערכת ההפעלה שלך. לא נעשה שימוש ב־Math.random.
עבור hex, Base64 ו־Base64URL, הכלי לוקח בדיוק את מספר הבייטים שתבחר ומקודד אותם, כך שאסימון של 32 בייטים מכיל תמיד 256 סיביות אנטרופיה: 64 תווי hex, 44 תווי Base64 (כולל = אחד של ריפוד) או 43 תווי Base64URL. Base64URL מחליף את + ו־/ ב־- ו־_ ומוריד את הריפוד, כך שניתן להשתמש בו בכתובות URL, בשמות קבצים ובכותרות HTTP ללא escaping.
אסימונים אלפאנומריים משתמשים רק ב־A–Z, a–z ו־0–9, וכך נמנעים מתווים שחלק מהמערכות מתייחסות אליהם במיוחד. כל תו נושא בערך 5.95 סיביות, לכן הכלי שולף מספיק תווים כדי להגיע לפחות למספר הסיביות שנבחר (43 תווים עבור 256 סיביות). התווים נבחרים בשיטת rejection sampling כך שכל 62 התווים סבירים באותה מידה.
הקידומת נוספת כטקסט רגיל ואינה מוסיפה אנטרופיה. קידומות כמו “sk_live_” מקלות לזהות מפתחות שדלפו ולמצוא אותם באמצעות סורקי סודות. אחסן סודות במנהל סיסמאות או במאגר סודות, לא בקוד המקור.
דוגמאות
סוד לחתימת webhook
32 בייטים ב־hex נותנים סוד בן 64 תווים עם 256 סיביות אנטרופיה, שאפשר להדביק בהגדרות הן של השולח והן של המקבל עבור חתימות HMAC-SHA-256.
מפתח API עם קידומת מזוהה
בחר 24 בייטים, אלפאנומרי ואת הקידומת “acme_live_”. כל מפתח נראה כמו acme_live_ ואחריו 33 אותיות וספרות, נושא לפחות 192 סיביות וקל לזהות אותו ביומנים או בסורק סודות.
אסימון איפוס בטוח ל־URL
16 בייטים ב־Base64URL נותנים אסימון בן 22 תווים (128 סיביות) שאפשר לשלב ישירות בקישור כגון /reset?token=… ללא קידוד אחוזים.
שאלות נפוצות
כמה בייטים צריך להכיל סוד?
128 סיביות (16 בייטים) מספיקות כדי להפוך ניחוש לבלתי אפשרי עבור אסימונים כמו מזהי session. עבור סודות ארוכי חיים כמו מפתחות חתימה, 256 סיביות (32 בייטים) היא ההמלצה המקובלת ותואמת לגודל הפלט של SHA-256.
באיזה קידוד כדאי לבחור?
האנטרופיה זהה עבור מספר נתון של בתים; רק צורת הטקסט שונה. השתמש בהקסדצימלי לתאימות מקסימלית, ב-Base64URL לאסימונים קצרים בכתובות URL ובכותרות, ובאלפאנומרי כשמערכת דוחה סימני פיסוק.
האם האסימונים נשמרים או מתועדים?
לא. הם נוצרים בלשונית הדפדפן הזו ונעלמים כשעוזבים את הדף. הם אינם נשלחים לשרת ואינם נכללים בניתוח נתונים.
האם אפשר להשתמש בהם כסיסמאות?
כן, הם אקראיים מספיק, אבל אתרים רבים דורשים שילוב של סוגי תווים. מחולל הסיסמאות מאפשר לך לשלוט בכללים האלה ישירות.
פרטיות
האסימונים נוצרים בדפדפן שלך באמצעות crypto.getRandomValues. הם אינם מועלים, נשמרים, מתועדים או נשלחים לניתוח נתונים; נרשם רק אירוע אנונימי של השימוש בכלי.