Tungkol sa generator na ito
Ang preset na ito ay lumilikha ng URL-safe high-entropy value para sa HMAC JWT signing. Ito ay isang developer secret, hindi isang user password, at hindi ito umaalis sa browser na ito.
Ang preset na ito ay nagsisimula sa url-safe mode at bumubuo ng 10 independiyenteng resulta sa bawat pagkakataon. Ang bawat nakikitang setting ay nananatiling adjustable, at ang mga nabuong halaga ay hindi ipinapadala sa PwdGen.
Kailan ito gagamitin
- Paglikha ng bagong kredensyal para sa partikular na kaso ng paggamit na ito
- Pagpapalit ng muling ginamit o mahinang password
- Pagbuo ng mga halaga nang lokal bago ang secure na pag-iimbak
Laki ng alpabeto, entropy, at mga palagay sa brute-force
Ang pinakamataas na entropy ay kinakalkula bilang H = L × log2(A), kung saan ang L ay ang nabuong haba at ang A ay ang bilang ng kasalukuyang pinapayagang mga character.
| Haba | Alpabeto | Search space | Pinakamataas na entropy | Average sa 10 bilyong guesses/s |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 bits | 6.24e97 years |
Mahalaga: ang mga ito ay mathematical estimates para sa uniformly random na mga halaga. Ang mga kinakailangang posisyon, pinaghihigpitang bilang, paulit-ulit na password, pattern ng diksyunaryo, leaked credentials, at tunay na password-hashing costs ay maaaring magbago nang malaki sa resulta. Ang figure ay hindi isang garantiya ng seguridad.
Gabay sa pag-deploy ng JWT signing-secret
Para sa HS256, gumamit ng hindi bababa sa 256 bits ng uniformly random key material. Ang HS384 at HS512 ay gumagamit ng iba't ibang laki ng output ng SHA-2, ngunit ang pagpili ng mas mahabang algorithm ay hindi nag-aayos ng mahinang verification, leaked keys, o algorithm-confusion bugs.
Katumbas na terminal at Node.js generation
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Storage at rotation
- Panatilihin ang signing keys sa labas ng Git, frontend bundles, URLs, analytics, at application logs.
- Gumamit ng secret manager, Vault, KMS, o protected environment variable.
- Gumamit ng controlled kid strategy kapag nagro-rotate ng keys.
- Pumili ng RS256 o ES256 kapag ang mga verifier ay dapat magkaroon lamang ng public key.
Ang Hex, Base64, at Base64URL ay mga encoding—hindi encryption. Ang seguridad ay nagmumula sa random bytes at kung paano pinoprotektahan ang signing key.
Paano gamitin ang resulta nang ligtas
- Suriin ang kasalukuyang mga patakaran ng password ng patutunguhan
- Gumamit ng natatanging resulta at paganahin ang MFA kung available
- Itago ang mga recovery code nang hiwalay sa password
Paraan ng pagbuo at privacy
Ang preset ay gumagamit ng browser Web Crypto API para sa random selection. Ang pag-re-regenerate, pagbabago ng settings, pagpili, at pagkopya ng mga resulta ay hindi nagpapadala ng nabuong credentials sa PwdGen. Ang password crack-time estimator ay tumatakbo rin nang lokal at ito ay isang estimate, hindi isang garantiya.
Tagabuo ng Sikreto para sa JWT FAQ
Gaano katagal dapat ang isang HS256 JWT secret?
Gumamit ng hindi bababa sa 256 bits ng uniformly random key material para sa HS256. Ang pahinang ito ay bumubuo ng 64-character Base64URL-alphabet value, na nagbibigay ng mas malaking theoretical search space kapag nabuo nang uniformly.
Dapat bang itago ang isang JWT secret sa isang environment variable?
Ang isang environment variable ay mas ligtas kaysa sa source code ngunit maaari pa ring tumagas sa pamamagitan ng process inspection, logs, o deployment tooling. Ang isang managed secret store o KMS ay mas mainam para sa production systems.
Kailan ko dapat gamitin ang RS256 o ES256 sa halip na HMAC?
Gamitin ang asymmetric signing kapag ang mga verifier ay hindi dapat magkaroon ng private signing key o kapag ang maraming serbisyo ay nangangailangan ng public-key verification. Protektahan ang private key at i-rotate ang mga key na may kontroladong key identifier strategy.