Como funciona
Esta ferramenta gera uma string aleatória no formato que você precisar: hex, Base64url, alfanumérico, alfanumérico em minúsculas ou um UUID v4. Use para chaves de API, tokens de sessão, sais, segredos de webhook, IDs de banco de dados e identificadores de uso único — qualquer coisa que precise ser impossível de adivinhar e que nunca é digitada por uma pessoa.
Cada caractere vem de crypto.getRandomValues(), o gerador criptograficamente seguro do navegador, e nada é enviado. Para um segredo que protege um acesso real, use pelo menos 128 bits de entropia — por exemplo 32 caracteres hex ou 22 caracteres Base64url.
Qual deve ser o comprimento?
- Sal — 16 bytes (32 caracteres hex). Ser único importa mais que o comprimento.
- Token de sessão ou chave de API — 128 bits: 32 hex, 22 Base64url ou 24 alfanuméricos.
- Chave de assinatura ou segredo de longa duração — 256 bits: 64 hex ou 43 Base64url.
- Código de uso único em uma URL — 128 bits no mínimo; trate como uma senha.
Acima de 256 bits não há nada que um atacante consiga esgotar. Mantenha segredos fora do controle de versão e dos logs, e gire um assim que for exposto.