Come si usa
- Scegli quanti byte casuali deve contenere ogni token. 32 byte (256 bit) sono un valore predefinito sicuro per i segreti.
- Scegli una codifica adatta all'uso previsto del token e, se vuoi, aggiungi un prefisso come “myapp_live_”.
- Imposta il numero di token necessari, poi copiane uno oppure usa “Copia tutto”. Premi “Genera di nuovo” per crearne un nuovo gruppo.
Come funziona
I token sono generati a partire da byte casuali prodotti da crypto.getRandomValues, il generatore crittograficamente sicuro integrato nel browser e nel sistema operativo. Math.random non viene mai usato.
Per hex, Base64 e Base64URL, lo strumento usa esattamente il numero di byte scelto e li codifica: un token di 32 byte ha quindi sempre 256 bit di entropia: 64 caratteri esadecimali, 44 caratteri Base64 (incluso un = di padding) oppure 43 caratteri Base64URL. Base64URL sostituisce + e / con - e _ e rimuove il padding, così può essere usato in URL, nomi di file e header HTTP senza codifica di escape.
I token alfanumerici usano solo A–Z, a–z e 0–9, evitando i caratteri che alcuni sistemi trattano in modo speciale. Ogni carattere apporta circa 5,95 bit, quindi lo strumento genera un numero sufficiente di caratteri per raggiungere almeno il numero di bit scelto (43 caratteri per 256 bit). I caratteri vengono selezionati con il campionamento per rifiuto, così tutti e 62 hanno la stessa probabilità.
Il prefisso viene aggiunto come testo semplice e non apporta entropia. Prefissi come “sk_live_” rendono più facile riconoscere le chiavi divulgate e individuarle con gli scanner di segreti. Conserva i segreti in un gestore di password o in un archivio di segreti, non nel codice sorgente.
Esempi
Un segreto per firmare webhook
32 byte in formato hex producono un segreto di 64 caratteri con 256 bit di entropia, da inserire nella configurazione sia del mittente sia del destinatario per le firme HMAC-SHA-256.
Una chiave API con un prefisso riconoscibile
Scegli 24 byte, Alfanumerico e il prefisso “acme_live_”. Ogni chiave avrà la forma acme_live_ seguita da 33 lettere e cifre, offrirà almeno 192 bit e sarà facile da riconoscere nei log o con uno scanner di segreti.
Un token di ripristino compatibile con gli URL
16 byte in formato Base64URL producono un token di 22 caratteri (128 bit) che può essere inserito direttamente in un link, ad esempio /reset?token=…, senza codifica percentuale.
Domande frequenti
Quanti byte dovrebbe avere un segreto?
128 bit (16 byte) sono sufficienti a rendere impossibile indovinare token come gli ID di sessione. Per segreti di lunga durata, come le chiavi di firma, la raccomandazione comune è di usare 256 bit (32 byte), la stessa dimensione dell’output di SHA-256.
Quale codifica dovrei scegliere?
A parità di numero di byte, l’entropia è la stessa: cambia solo la rappresentazione testuale. Usa hex per la massima compatibilità, Base64URL per token brevi da inserire in URL e header, e il formato alfanumerico se un sistema non accetta la punteggiatura.
I token vengono memorizzati o registrati?
No. Vengono generati in questa scheda del browser e scompaiono quando esci dalla pagina. Non vengono inviati a un server né inclusi nelle analisi.
Posso usare questi token come password?
Sì, sono abbastanza casuali, ma spesso i siti richiedono una combinazione di tipi di caratteri. Il generatore di password ti permette di impostare direttamente queste regole.
Privacy
I token vengono generati nel browser con crypto.getRandomValues. Non vengono caricati, memorizzati, registrati né inviati ai servizi di analisi; viene registrato solo un evento anonimo che indica l'uso dello strumento.