Cách sử dụng
- Chọn số byte ngẫu nhiên cho mỗi token. 32 byte (256 bit) là mức mặc định an toàn cho các thông tin bí mật.
- Chọn kiểu mã hóa phù hợp với nơi bạn sẽ dùng token, và thêm tiền tố nếu muốn, chẳng hạn “myapp_live_”.
- Chọn số token cần tạo, sau đó sao chép từng token hoặc chọn “Sao chép tất cả”. Nhấn “Tạo lại” để tạo một bộ token mới.
Cách hoạt động
Token được tạo từ các byte ngẫu nhiên do crypto.getRandomValues cung cấp, một bộ tạo số an toàn về mặt mật mã được tích hợp trong trình duyệt và hệ điều hành. Công cụ không bao giờ dùng Math.random.
Với hex, Base64 và Base64URL, công cụ lấy chính xác số byte bạn chọn rồi mã hóa chúng. Vì vậy, token 32 byte luôn có 256 bit entropy: 64 ký tự hex, 44 ký tự Base64 (bao gồm một dấu = đệm) hoặc 43 ký tự Base64URL. Base64URL thay + và / bằng - và _, đồng thời bỏ phần đệm, nên có thể dùng trong URL, tên tệp và HTTP header mà không cần escape.
Token chữ và số chỉ dùng A–Z, a–z và 0–9, tránh các ký tự mà một số hệ thống xử lý đặc biệt. Mỗi ký tự mang khoảng 5,95 bit, nên công cụ tạo đủ ký tự để đạt ít nhất số bit đã chọn (43 ký tự cho 256 bit). Các ký tự được chọn bằng phương pháp lấy mẫu loại bỏ, đảm bảo cả 62 ký tự có xác suất xuất hiện như nhau.
Tiền tố được thêm dưới dạng văn bản thuần và không làm tăng entropy. Các tiền tố như “sk_live_” giúp nhận diện khóa bị lộ và tìm thấy chúng bằng công cụ quét bí mật dễ dàng hơn. Hãy lưu bí mật trong trình quản lý mật khẩu hoặc kho lưu trữ bí mật, không lưu trong mã nguồn.
Ví dụ
Bí mật ký webhook
32 byte ở dạng hex tạo ra bí mật dài 64 ký tự với 256 bit entropy. Bạn có thể dán bí mật này vào cấu hình của cả bên gửi lẫn bên nhận để tạo chữ ký HMAC-SHA-256.
API key có tiền tố dễ nhận diện
Chọn 24 byte, dạng chữ và số cùng tiền tố “acme_live_”. Mỗi khóa có dạng acme_live_ theo sau là 33 chữ cái và chữ số, đạt ít nhất 192 bit và dễ nhận ra trong nhật ký hoặc khi quét bí mật.
Token đặt lại an toàn cho URL
16 byte ở dạng Base64URL tạo ra token dài 22 ký tự (128 bit), có thể dùng trực tiếp trong liên kết như /reset?token=… mà không cần mã hóa phần trăm.
Câu hỏi thường gặp
Bí mật nên có bao nhiêu byte?
128 bit (16 byte) là đủ để khiến việc đoán token như mã phiên trở nên bất khả thi. Với các bí mật dùng lâu dài như khóa ký, mức phổ biến được khuyến nghị là 256 bit (32 byte), tương ứng với kích thước đầu ra của SHA-256.
Nên chọn kiểu mã hóa nào?
Với cùng số byte, entropy là như nhau; chỉ khác cách biểu diễn văn bản. Dùng hex để tương thích tối đa, Base64URL để tạo token ngắn trong URL và header, hoặc dạng chữ và số khi hệ thống không chấp nhận dấu câu.
Token có được lưu hoặc ghi nhật ký không?
Không. Token được tạo trong tab trình duyệt này và sẽ biến mất khi bạn rời khỏi trang. Token không được gửi đến máy chủ hoặc đưa vào dữ liệu phân tích.
Tôi có thể dùng các token này làm mật khẩu không?
Có. Token đủ ngẫu nhiên, nhưng các trang web thường yêu cầu kết hợp nhiều loại ký tự. Trình tạo mật khẩu cho phép bạn thiết lập trực tiếp các quy tắc đó.
Quyền riêng tư
Token được tạo trong trình duyệt bằng crypto.getRandomValues. Token không được tải lên, lưu trữ, ghi nhật ký hoặc gửi đến dịch vụ phân tích; chỉ có một sự kiện ẩn danh ghi nhận việc sử dụng công cụ.