Sobre este gerador
Esta predefinição cria um valor de alta entropia URL-safe para assinatura HMAC JWT. É um segredo de desenvolvedor, não uma senha de usuário, e nunca sai deste navegador.
Este preset inicia com o modo url-safe e gera 10 resultados independentes por vez. Todas as configurações visíveis permanecem ajustáveis, e os valores gerados não são enviados para PwdGen.
Quando usar
- Criar uma nova credencial para este caso de uso específico
- Substituir uma senha reutilizada ou fraca
- Gerar valores localmente antes do armazenamento seguro
Tamanho do alfabeto, entropia e suposições de força bruta
O teto teórico de entropia é calculado como H = L × log2(A), onde L é o comprimento gerado e A é o número de caracteres atualmente permitidos.
| Comprimento | Alfabeto | Espaço de busca | Teto de entropia | Média a 10 bilhões de tentativas/s |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 bits | 6.24e97 years |
Importante: estas são estimativas matemáticas para valores uniformemente aleatórios. Posições obrigatórias, contagens restritas, senhas repetidas, padrões de dicionário, credenciais vazadas e custos reais de hash de senha podem alterar substancialmente o resultado. O valor não é uma garantia de segurança.
Guia de implantação de chave de assinatura JWT
Para HS256, use pelo menos 256 bits de material de chave uniformemente aleatório. HS384 e HS512 usam diferentes tamanhos de saída SHA-2, mas escolher um algoritmo mais longo não corrige verificação fraca, chaves vazadas ou bugs de confusão de algoritmo.
Geração equivalente em terminal e Node.js
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Armazenamento e rotação
- Mantenha chaves de assinatura fora do Git, bundles frontend, URLs, analytics e logs de aplicação.
- Use um gerenciador de segredos, Vault, KMS ou variável de ambiente protegida.
- Use uma estratégia kid controlada ao rotacionar chaves.
- Escolha RS256 ou ES256 quando os verificadores devem manter apenas uma chave pública.
Hex, Base64 e Base64URL são codificações — não criptografia. A segurança vem dos bytes aleatórios e de como a chave de assinatura é protegida.
Como usar o resultado com segurança
- Verifique as regras de senha atuais do destino
- Use um resultado único e ative MFA quando disponível
- Armazene códigos de recuperação separadamente da senha
Método de geração e privacidade
O preset usa o Web Crypto API do navegador para seleção aleatória. Regenerar, alterar configurações, selecionar e copiar resultados não envia credenciais geradas para PwdGen. O estimador de tempo de quebra de senha também é executado localmente e é uma estimativa, não uma garantia.
Gerador de Segredo JWT FAQ
Qual deve ser o comprimento de um segredo HS256 JWT?
Use pelo menos 256 bits de material de chave uniformemente aleatório para HS256. Esta página gera um valor de alfabeto Base64URL de 64 caracteres, que fornece um espaço de busca teórico maior quando gerado uniformemente.
Um segredo JWT deve ser armazenado em uma variável de ambiente?
Uma variável de ambiente é mais segura que o código-fonte, mas ainda pode vazar através de inspeção de processo, logs ou ferramentas de implantação. Um armazenamento de segredos gerenciado ou KMS é preferível para sistemas de produção.
Quando devo usar RS256 ou ES256 em vez de HMAC?
Use assinatura assimétrica quando os verificadores não devem possuir a chave privada de assinatura ou quando vários serviços precisam de verificação de chave pública. Proteja a chave privada e rotacione as chaves com uma estratégia de identificador de chave controlada.