So funktioniert es
Dieses Tool erzeugt einen Zufallsstring im gewünschten Format: Hex, Base64url, alphanumerisch, alphanumerisch in Kleinbuchstaben oder eine UUID v4. Nutzen Sie ihn für API-Schlüssel, Session-Tokens, Salts, Webhook-Secrets, Datenbank-IDs und Einmal-Kennungen — alles, was unerratbar sein muss und nie von Hand getippt wird.
Jedes Zeichen stammt aus crypto.getRandomValues(), dem kryptografisch sicheren Generator des Browsers, und es wird nichts übertragen. Für ein Geheimnis, das echten Zugriff schützt, verwenden Sie mindestens 128 Bit Entropie — etwa 32 Hex-Zeichen oder 22 Base64url-Zeichen.
Wie lang sollte er sein?
- Salt — 16 Byte (32 Hex-Zeichen). Wichtiger als die Länge ist die Eindeutigkeit.
- Session-Token oder API-Schlüssel — 128 Bit: 32 Hex, 22 Base64url oder 24 alphanumerische Zeichen.
- Signaturschlüssel oder langlebiges Secret — 256 Bit: 64 Hex oder 43 Base64url-Zeichen.
- Einmalcode in einer URL — mindestens 128 Bit; behandeln Sie ihn wie ein Passwort.
Über 256 Bit hinaus gibt es nichts, was ein Angreifer je durchprobieren könnte. Halten Sie Secrets aus Versionskontrolle und Logs heraus und wechseln Sie eines, sobald es offengelegt wurde.