Об этом генераторе
Эта предустановка создает безопасное для URL высокоэнтропийное значение для подписи HMAC JWT. Это секрет разработчика, а не пользовательский пароль, и он никогда не покидает этот браузер.
Этот пресет запускается в режиме url-safe и генерирует 10 независимых результатов за раз. Все видимые настройки остаются изменяемыми, а сгенерированные значения не отправляются на PwdGen.
Когда использовать
- Создание нового пароля для этого конкретного случая
- Замена повторно используемого или слабого пароля
- Генерация значений локально перед безопасным хранением
Размер алфавита, энтропия и предположения о переборе
Теоретический потолок энтропии вычисляется как H = L × log2(A), где L — длина сгенерированного значения, а A — количество разрешённых символов.
| Длина | Алфавит | Пространство поиска | Потолок энтропии | В среднем при 10 млрд попыток/с |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 бит | 6.24e97 years |
Важно: это математические оценки для равномерно случайных значений. Обязательные позиции, ограниченное количество, повторяющиеся пароли, словарные шаблоны, скомпрометированные учётные данные и реальные затраты на хеширование паролей могут существенно изменить результат. Цифра не является гарантией безопасности.
Рекомендации по развёртыванию ключа подписи JWT
Для HS256 используйте не менее 256 бит равномерно случайного ключевого материала. HS384 и HS512 используют разные размеры выходных данных SHA-2, но выбор более длинного алгоритма не исправляет слабую проверку, утечку ключей или ошибки путаницы алгоритмов.
Эквивалентная генерация в терминале и Node.js
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Хранение и ротация
- Храните ключи подписи вне Git, фронтенд-сборок, URL, аналитики и журналов приложений.
- Используйте менеджер секретов, Vault, KMS или защищённую переменную окружения.
- Используйте контролируемую стратегию kid при ротации ключей.
- Выбирайте RS256 или ES256, когда верификаторы должны хранить только открытый ключ.
Hex, Base64 и Base64URL — это кодировки, а не шифрование. Безопасность обеспечивается случайными байтами и тем, как защищён ключ подписи.
Как безопасно использовать результат
- Проверьте текущие правила паролей в целевой системе
- Используйте уникальный результат и включите MFA, где это возможно
- Храните коды восстановления отдельно от пароля
Метод генерации и конфиденциальность
Пресет использует браузерный Web Crypto API для случайного выбора. Повторная генерация, изменение настроек, выбор и копирование результатов не отправляют сгенерированные учётные данные на PwdGen. Оценщик времени взлома пароля также работает локально и является оценкой, а не гарантией.
Генератор секрета JWT FAQ
Какой длины должен быть секрет HS256 JWT?
Используйте не менее 256 бит равномерно случайного ключевого материала для HS256. Эта страница генерирует 64-символьное значение из алфавита Base64URL, что обеспечивает большее теоретическое пространство поиска при равномерной генерации.
Следует ли хранить секрет JWT в переменной окружения?
Переменная окружения безопаснее, чем исходный код, но может быть раскрыта через проверку процессов, журналы или инструменты развертывания. Для производственных систем предпочтительнее управляемое хранилище секретов или KMS.
Когда следует использовать RS256 или ES256 вместо HMAC?
Используйте асимметричную подпись, когда проверяющие не должны владеть закрытым ключом подписи или когда несколько сервисов нуждаются в проверке с помощью открытого ключа. Защищайте закрытый ключ и меняйте ключи с контролируемой стратегией идентификатора ключа.