Cum se folosește
- Alegeți câți octeți aleatori trebuie să conțină fiecare token. 32 de octeți (256 de biți) este o valoare implicită sigură pentru secrete.
- Alegeți o codificare potrivită pentru locul unde va fi folosit tokenul și, opțional, adăugați un prefix precum „myapp_live_”.
- Stabiliți de câte tokenuri aveți nevoie, apoi copiați unul sau folosiți „Copiază tot”. Apăsați „Generează din nou” pentru un set nou.
Cum funcționează
Tokenii sunt generați din octeți aleatori produși de crypto.getRandomValues, generatorul securizat criptografic integrat în browserul și sistemul de operare. Math.random nu este folosit niciodată.
Pentru hex, Base64 și Base64URL, instrumentul preia exact numărul de octeți pe care îl alegeți și îi codifică, astfel încât un token de 32 de octeți are întotdeauna 256 de biți de entropie: 64 de caractere hex, 44 de caractere Base64 (inclusiv un = de umplutură) sau 43 de caractere Base64URL. Base64URL înlocuiește + și / cu - și _ și elimină umplutura, astfel încât poate fi folosit în URL-uri, nume de fișiere și antete HTTP fără a necesita codificare suplimentară.
Tokenii alfanumerici folosesc doar A–Z, a–z și 0–9, ceea ce evită caracterele pe care unele sisteme le tratează special. Fiecare caracter poartă aproximativ 5,95 biți, așa că instrumentul extrage suficiente caractere pentru a atinge cel puțin numărul de biți ales (43 de caractere pentru 256 de biți). Caracterele sunt alese prin eșantionare cu respingere, astfel încât toate cele 62 sunt la fel de probabile.
Prefixul este adăugat ca text simplu și nu adaugă entropie. Prefixe precum „sk_live_” fac cheile scurse mai ușor de recunoscut și de găsit cu scanerele de secrete. Păstrați secretele într-un manager de parole sau într-un depozit de secrete, nu în codul sursă.
Exemple
Un secret de semnare pentru webhook
32 de octeți în hex dau un secret de 64 de caractere cu 256 de biți de entropie, pe care îl puteți lipi atât în configurația expeditorului, cât și a receptorului pentru semnăturile HMAC-SHA-256.
O cheie API cu un prefix ușor de recunoscut
Alegeți 24 de octeți, Alfanumeric și prefixul „acme_live_”. Fiecare cheie arată ca acme_live_ urmat de 33 de litere și cifre, are cel puțin 192 de biți și este ușor de observat în jurnale sau cu un scaner de secrete.
Un token de resetare sigur pentru URL
16 octeți în Base64URL dau un token de 22 de caractere (128 de biți) care poate fi introdus direct într-un link precum /reset?token=… fără codificare procentuală.
Întrebări frecvente
Câți octeți ar trebui să aibă un secret?
128 de biți (16 octeți) sunt suficienți pentru a face imposibilă ghicirea unor tokeni precum ID-urile de sesiune. Pentru secretele de lungă durată, cum ar fi cheile de semnare, 256 de biți (32 de octeți) este recomandarea obișnuită și corespunde dimensiunii de ieșire a SHA-256.
Ce codificare ar trebui să aleg?
Entropia este aceeași pentru un anumit număr de octeți; diferă doar forma textului. Folosiți hex pentru compatibilitate maximă, Base64URL pentru tokenuri scurte în URL-uri și antete, și alfanumeric atunci când un sistem respinge semnele de punctuație.
Sunt tokenurile stocate sau înregistrate?
Nu. Sunt generate în această filă de browser și dispar când părăsiți pagina. Nu sunt trimise către un server și nu sunt incluse în analize.
Pot folosi aceste tokenuri ca parole?
Da, sunt suficient de aleatorii, dar site-urile cer adesea o combinație de tipuri de caractere. Generatorul de parole vă permite să controlați direct aceste reguli.
Confidențialitate
Tokenurile sunt generate în browserul dvs. cu crypto.getRandomValues. Nu sunt încărcate, stocate, înregistrate sau trimise către analize; este înregistrat doar un eveniment anonim de utilizare a instrumentului.