Nasıl kullanılır?
- Her token'ın kaç rastgele bayt içermesini istediğinizi seçin. Gizli bilgiler için 32 bayt (256 bit) güvenli bir varsayılan değerdir.
- Token'ın kullanılacağı yere uygun bir kodlama seçin ve isterseniz “myapp_live_” gibi bir ön ek ekleyin.
- İhtiyacınız olan token sayısını belirleyin, ardından birini veya “Tümünü kopyala” seçeneğini kullanın. Yeni bir grup oluşturmak için “Yeniden oluştur”a basın.
Nasıl çalışır?
Token'lar, tarayıcınızda ve işletim sisteminizde yerleşik, kriptografik açıdan güvenli bir üreteç olan crypto.getRandomValues tarafından oluşturulan rastgele baytlardan üretilir. Math.random hiçbir zaman kullanılmaz.
Hex, Base64 ve Base64URL biçimlerinde araç, seçtiğiniz bayt sayısını aynen alıp kodlar. Bu nedenle 32 baytlık bir token her zaman 256 bit entropiye sahiptir: 64 hex karakteri, 44 Base64 karakteri (sonunda bir = dolgu karakteriyle) veya 43 Base64URL karakteri. Base64URL, + ve / karakterlerini - ve _ ile değiştirip dolguyu kaldırır; böylece kaçış kodlaması gerektirmeden URL'lerde, dosya adlarında ve HTTP başlıklarında kullanılabilir.
Alfasayısal token'larda yalnızca A–Z, a–z ve 0–9 kullanılır; böylece bazı sistemlerin özel kabul ettiği karakterlerden kaçınılır. Her karakter yaklaşık 5,95 bit taşır. Bu nedenle araç, seçilen bit sayısına ulaşmak için yeterli sayıda karakter üretir (256 bit için 43 karakter). 62 karakterin tümünün eşit olasılıkla seçilmesi için reddetmeli örnekleme kullanılır.
Önek düz metin olarak eklenir ve entropiye katkı sağlamaz. “sk_live_” gibi önekler, sızdırılan anahtarların tanınmasını ve gizli bilgi tarayıcılarıyla bulunmasını kolaylaştırır. Gizli bilgileri kaynak kodunda değil, bir parola yöneticisinde veya gizli bilgi deposunda saklayın.
Örnekler
Webhook imzalama anahtarı
Hex biçimindeki 32 bayt, 256 bit entropiye sahip 64 karakterlik bir gizli anahtar oluşturur. Bu anahtarı HMAC-SHA-256 imzaları için hem göndericinin hem de alıcının yapılandırmasına ekleyebilirsiniz.
Tanımlayıcı öneke sahip bir API anahtarı
24 bayt, Alfasayısal biçimini ve “acme_live_” önekini seçin. Her anahtarın başında acme_live_ olur ve ardından 33 harf ve rakam gelir. En az 192 bit entropi taşır ve günlüklerde veya gizli bilgi tarayıcısında kolayca fark edilir.
URL'de güvenle kullanılabilen sıfırlama token'ı
Base64URL biçimindeki 16 bayt, yüzde kodlaması gerektirmeden /reset?token=… gibi bir bağlantıda doğrudan kullanılabilen 22 karakterlik (128 bit) bir token oluşturur.
Sık sorulan sorular
Bir gizli anahtar kaç bayt olmalı?
Oturum kimlikleri gibi token'larda tahmin edilmesi imkânsız bir değer oluşturmak için 128 bit (16 bayt) yeterlidir. İmzalama anahtarları gibi uzun ömürlü gizli bilgiler için genellikle 256 bit (32 bayt) önerilir; bu, SHA-256'nın çıktı boyutuna da karşılık gelir.
Hangi kodlamayı seçmeliyim?
Belirli bir bayt sayısında entropi aynıdır; yalnızca metin biçimi değişir. En geniş uyumluluk için hex, URL'lerde ve başlıklarda kısa token'lar için Base64URL, bir sistem noktalama işaretlerini kabul etmiyorsa alfasayısal biçimi kullanın.
Token'lar saklanıyor veya kaydediliyor mu?
Hayır. Token'lar bu tarayıcı sekmesinde oluşturulur ve sayfadan ayrıldığınızda kaybolur. Bir sunucuya gönderilmez veya analiz verilerine eklenmez.
Bunları parola olarak kullanabilir miyim?
Evet, yeterince rastgele oluşturulurlar; ancak siteler genellikle farklı karakter türlerinin bir arada kullanılmasını gerektirir. Parola Oluşturucu bu kuralları doğrudan belirlemenizi sağlar.
Gizlilik
Token'lar tarayıcınızda crypto.getRandomValues ile oluşturulur. Yüklenmez, saklanmaz, kaydedilmez veya analiz verilerine gönderilmez; yalnızca aracın kullanıldığını belirten anonim bir etkinlik kaydedilir.