使用方式
- 選擇每個 Token 要包含多少隨機位元組。32 位元組（256 位元）是安全的預設值。
- 選擇適合 Token 使用情境的編碼，也可以加上前綴，例如「myapp_live_」。
- 設定所需的 Token 數量，然後複製單一 Token，或使用「全部複製」。按一下「重新產生」即可產生一組新的 Token。
運作方式
Token 是由 crypto.getRandomValues 產生的隨機位元組組成。這是內建於瀏覽器和作業系統中的密碼學安全亂數產生器。此工具絕不使用 Math.random。
使用 hex、Base64 和 Base64URL 時，工具會依您選擇的數量產生位元組並進行編碼，因此 32 位元組的 token 一定有 256 位元的熵：64 個 hex 字元、44 個 Base64 字元（包含一個 = 填充字元），或 43 個 Base64URL 字元。Base64URL 會將 + 和 / 換成 - 和 _，並移除填充字元，因此可直接用於 URL、檔案名稱和 HTTP 標頭，無須跳脫。
英數字元 token 僅使用 A–Z、a–z 和 0–9，避免使用某些系統視為特殊字元的符號。每個字元約提供 5.95 位元，因此工具會產生足夠數量的字元，以達到至少所選的位元數（256 位元需要 43 個字元）。字元是透過拒絕取樣選取，確保 62 個字元出現的機率相同。
前綴會以純文字加上，不會增加熵。像「sk_live_」這類前綴，能讓外洩的金鑰更容易辨識，也更容易被秘密掃描工具找到。請將密鑰存放在密碼管理工具或秘密儲存庫中，不要放在原始碼裡。
範例
Webhook 簽章密鑰
32 位元組的 hex 會產生含有 256 位元熵的 64 字元密鑰，可將它貼到發送端與接收端的設定中，用於 HMAC-SHA-256 簽章。
含易辨識前綴的 API 金鑰
選擇 24 位元組、英數字元和前綴「acme_live_」。每個金鑰的格式為 acme_live_ 後接 33 個英文字母與數字，至少有 192 位元的熵，也容易在記錄檔或秘密掃描工具中辨識。
URL 安全的重設 token
16 位元組的 Base64URL 會產生 22 字元的 token（128 位元），可直接放入像 /reset?token=… 這樣的連結，無須進行百分比編碼。
常見問題
密鑰應該使用多少位元組？
128 位元（16 位元組）足以讓工作階段 ID 等 token 幾乎不可能被猜中。對於簽章金鑰等長期使用的密鑰，通常建議使用 256 位元（32 位元組），這也與 SHA-256 的輸出大小相同。
我該選擇哪種編碼？
指定相同的位元組數時，熵也相同；不同的只有文字表示方式。若要確保相容性，請使用 hex；若要在 URL 和標頭中使用短 token，請使用 Base64URL；若系統不允許標點符號，則使用英數字元。
Token 會儲存或記錄下來嗎？
不會。Token 會在這個瀏覽器分頁中產生，離開頁面後就會消失。它們不會傳送至伺服器，也不會納入分析資料。
可以用這些 Token 當密碼嗎？
可以，它們具有足夠的隨機性，但網站通常會要求混合使用不同類型的字元。密碼產生器可讓您直接設定這些規則。
隱私權
Token 會透過 crypto.getRandomValues 在瀏覽器中產生，不會上傳、儲存、記錄或傳送至分析服務；系統只會記錄一筆匿名的工具使用事件。