Om denne generator
Denne forudindstilling opretter en URL-sikker høj-entropi værdi til HMAC JWT signering. Det er en udviklerhemmelighed, ikke en brugeradgangskode, og den forlader aldrig denne browser.
Dette forudindstillede startpunkt bruger url-safe-tilstand og genererer 10 uafhængige resultater ad gangen. Alle synlige indstillinger kan justeres, og genererede værdier sendes ikke til PwdGen.
Hvornår skal det bruges
- Oprette en ny legitimationsoplysning til dette specifikke brugstilfælde
- Erstatte en genbrugt eller svag adgangskode
- Generere værdier lokalt før sikker opbevaring
Alfabetstørrelse, entropi og brute-force-antagelser
Det teoretiske entropiloft beregnes som H = L × log2(A), hvor L er den genererede længde og A er antallet af aktuelt tilladte tegn.
| Længde | Alfabet | Søgerum | Entropiloft | Gennemsnit ved 10 milliarder gæt/s |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 bits | 6.24e97 years |
Vigtigt: Dette er matematiske estimater for ensartet tilfældige værdier. Påkrævede positioner, begrænsede antal, gentagne adgangskoder, ordbogsmønstre, lækkede legitimationsoplysninger og faktiske omkostninger ved adgangskode-hashing kan ændre resultatet væsentligt. Tallet er ikke en sikkerhedsgaranti.
JWT signeringshemmelighed implementeringsvejledning
Til HS256 skal du bruge mindst 256 bits ensartet tilfældigt nøglemateriale. HS384 og HS512 bruger forskellige SHA-2 outputstørrelser, men at vælge en længere algoritme reparerer ikke svag verifikation, lækkede nøgler eller algoritmeforvirringsfejl.
Tilsvarende terminal- og Node.js-generering
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Opbevaring og rotation
- Hold signeringsnøgler ude af Git, frontend-bundter, URL'er, analyser og applikationslogfiler.
- Brug en hemmelighedsmanager, Vault, KMS eller beskyttet miljøvariabel.
- Brug en kontrolleret kid-strategi ved rotation af nøgler.
- Vælg RS256 eller ES256, når verifikatorer kun skal have en offentlig nøgle.
Hex, Base64 og Base64URL er kodninger – ikke kryptering. Sikkerheden kommer fra de tilfældige bytes og hvordan signeringsnøglen beskyttes.
Sådan bruges resultatet sikkert
- Kontroller destinationens nuværende adgangskoderegler
- Brug et unikt resultat og aktivér MFA hvor tilgængeligt
- Opbevar gendannelseskoder separat fra adgangskoden
Genererings- og privatlivsmetode
Forudindstillingen bruger browserens Web Crypto API til tilfældig udvælgelse. Regenerering, ændring af indstillinger, markering og kopiering af resultater sender ikke genererede legitimationsoplysninger til PwdGen. Adgangskode-crack-tidsestimatoren kører også lokalt og er et estimat, ikke en garanti.
JWT hemmelig nøgle-generator FAQ
Hvor lang skal en HS256 JWT hemmelighed være?
Brug mindst 256 bits af ensartet tilfældigt nøglemateriale til HS256. Denne side genererer en 64-tegns Base64URL-alfabet værdi, som giver et større teoretisk søgerum, når den genereres ensartet.
Skal en JWT hemmelighed opbevares i en miljøvariabel?
En miljøvariabel er sikrere end kildekode, men kan stadig lække gennem procesinspektion, logs eller implementeringsværktøjer. En administreret hemmelighedsbutik eller KMS er at foretrække til produktionssystemer.
Hvornår skal jeg bruge RS256 eller ES256 i stedet for HMAC?
Brug asymmetrisk signering, når verifikatorer ikke bør besidde den private signeringsnøgle, eller når flere tjenester har brug for offentlig nøgleverifikation. Beskyt den private nøgle og roter nøgler med en kontrolleret nøgleidentifikatorstrategi.