Comment ça marche
Cet outil produit une chaîne aléatoire dans le format voulu : hex, Base64url, alphanumérique, alphanumérique en minuscules, ou un UUID v4. Utilisez-la pour des clés d'API, des jetons de session, des sels, des secrets de webhook, des identifiants de base de données et des identifiants uniques — tout ce qui doit être indevinable et n'est jamais tapé à la main.
Chaque caractère provient de crypto.getRandomValues(), le générateur cryptographiquement sûr du navigateur, et rien n'est envoyé. Pour un secret qui protège un accès réel, utilisez au moins 128 bits d'entropie — par exemple 32 caractères hex ou 22 caractères Base64url.
Quelle longueur choisir ?
- Sel — 16 octets (32 caractères hex). L'unicité compte plus que la longueur.
- Jeton de session ou clé d'API — 128 bits : 32 hex, 22 Base64url ou 24 caractères alphanumériques.
- Clé de signature ou secret à longue durée — 256 bits : 64 hex ou 43 caractères Base64url.
- Code à usage unique dans une URL — 128 bits minimum ; traitez-le comme un mot de passe.
Au-delà de 256 bits, rien qu'un attaquant puisse épuiser. Gardez les secrets hors du contrôle de version et des journaux, et changez-en un dès qu'il est exposé.