Cómo funciona
Esta herramienta genera una cadena aleatoria en el formato que necesites: hex, Base64url, alfanumérico, alfanumérico en minúsculas o un UUID v4. Úsala para claves de API, tokens de sesión, sales, secretos de webhook, IDs de base de datos e identificadores de un solo uso — cualquier cosa que deba ser imposible de adivinar y que nunca teclea una persona.
Cada carácter procede de crypto.getRandomValues(), el generador criptográficamente seguro del navegador, y no se envía nada a ningún sitio. Para un secreto que protege un acceso real, usa al menos 128 bits de entropía — por ejemplo 32 caracteres hex o 22 caracteres Base64url.
¿Cómo de larga debe ser?
- Sal — 16 bytes (32 caracteres hex). Importa más que sea única que su longitud.
- Token de sesión o clave de API — 128 bits: 32 hex, 22 Base64url o 24 alfanuméricos.
- Clave de firma o secreto de larga duración — 256 bits: 64 hex o 43 Base64url.
- Código de un solo uso en una URL — 128 bits mínimo; trátalo como una contraseña.
Más allá de 256 bits no hay nada que un atacante pueda agotar. Mantén los secretos fuera del control de versiones y de los registros, y rota uno en cuanto quede expuesto.