Jak to działa
To narzędzie tworzy losowy ciąg znaków w potrzebnym Ci formacie: hex, Base64url, alfanumerycznym, alfanumerycznym z małymi literami lub jako UUID v4. Używaj go do kluczy API, tokenów sesji, soli, sekretów webhooków, identyfikatorów baz danych i jednorazowych identyfikatorów — wszystkiego, co powinno być nie do odgadnięcia i nigdy nie jest wpisywane ręcznie przez człowieka.
Każdy znak pochodzi z crypto.getRandomValues(), kryptograficznie bezpiecznego generatora przeglądarki, i nic nie jest nigdzie wysyłane. Dla sekretu chroniącego prawdziwy dostęp użyj co najmniej 128 bitów entropii — na przykład 32 znaków hex lub 22 znaków Base64url.
Jak długi powinien być?
- Sól — 16 bajtów (32 znaki hex). Unikalność liczy się bardziej niż długość.
- Token sesji lub klucz API — 128 bitów: 32 hex, 22 Base64url lub 24 znaki alfanumeryczne.
- Klucz podpisujący lub długoterminowy sekret — 256 bitów: 64 hex lub 43 znaki Base64url.
- Jednorazowy kod w adresie URL — minimum 128 bitów; traktuj go jak hasło.
Powyżej 256 bitów nie ma niczego, co atakujący mógłby kiedykolwiek wyczerpać. Trzymaj sekrety poza systemem kontroli wersji i logami, i rotuj je natychmiast po ujawnieniu.