Så här använder du det
- Välj hur många slumpmässiga byte varje token ska innehålla. 32 byte (256 bitar) är ett säkert standardvärde för hemligheter.
- Välj en kodning som passar där tokenen ska användas, och lägg eventuellt till ett prefix som "myapp_live_".
- Ange hur många token du behöver, kopiera sedan en eller använd "Kopiera alla". Tryck på "Generera igen" för en ny uppsättning.
Så fungerar det
Tokens skapas från slumpmässiga byte som genereras av crypto.getRandomValues, den kryptografiskt säkra slumptalsgeneratorn som är inbyggd i din webbläsare och ditt operativsystem. Math.random används aldrig.
För hex, Base64 och Base64URL tar verktyget exakt det antal byte du väljer och kodar dem, så en token på 32 byte alltid har 256 bitars entropi: 64 hex-tecken, 44 Base64-tecken (inklusive ett = som utfyllnad) eller 43 Base64URL-tecken. Base64URL ersätter + och / med - och _ och tar bort utfyllnaden, så att den kan användas i URL:er, filnamn och HTTP-headrar utan escape-tecken.
Alfanumeriska tokens använder endast A–Z, a–z och 0–9, vilket undviker tecken som vissa system behandlar speciellt. Varje tecken bär cirka 5,95 bitar, så verktyget hämtar tillräckligt många tecken för att nå minst det valda antalet bitar (43 tecken för 256 bitar). Tecknen väljs med rejection sampling så att alla 62 är lika sannolika.
Prefixet läggs till som vanlig text och tillför ingen entropi. Prefix som ”sk_live_” gör läckta nycklar lättare att känna igen och hitta med secretskannrar. Förvara hemligheter i en lösenordshanterare eller ett hemlighetsarkiv, inte i källkoden.
Exempel
En webhook-signeringshemlighet
32 byte i hex ger en hemlighet på 64 tecken med 256 bitars entropi, som du kan klistra in i både avsändarens och mottagarens konfiguration för HMAC-SHA-256-signaturer.
En API-nyckel med ett igenkännbart prefix
Välj 24 byte, Alfanumerisk och prefixet ”acme_live_”. Varje nyckel ser ut som acme_live_ följt av 33 bokstäver och siffror, har minst 192 bitar och är lätt att upptäcka i loggar eller med en secretskanner.
En URL-säker återställningstoken
16 byte i Base64URL ger en token på 22 tecken (128 bitar) som kan användas direkt i en länk som /reset?token=… utan procentkodning.
Vanliga frågor
Hur många byte bör en hemlighet ha?
128 bitar (16 byte) räcker för att göra gissning omöjlig för tokens som sessions-ID:n. För långlivade hemligheter som signeringsnycklar är 256 bitar (32 byte) den vanliga rekommendationen och matchar utdatastorleken för SHA-256.
Vilken kodning ska jag välja?
Entropin är densamma för ett givet antal byte; endast textformen skiljer sig åt. Använd hex för maximal kompatibilitet, Base64URL för korta token i URL:er och headers, och alfanumeriskt när ett system inte tillåter skiljetecken.
Lagras eller loggas tokenen?
Nej. De genereras i den här webbläsarfliken och försvinner när du lämnar sidan. De skickas inte till någon server och ingår inte i analyser.
Kan jag använda dem som lösenord?
Ja, de är tillräckligt slumpmässiga, men webbplatser kräver ofta en blandning av olika teckentyper. Med Lösenordsgeneratorn kan du styra dessa regler direkt.
Integritet
Tokens genereras i din webbläsare med crypto.getRandomValues. De laddas inte upp, lagras inte, loggas inte och skickas inte till analysverktyg; endast en anonym händelse om att verktyget har använts registreras.