Om denna generator
Denna förinställning skapar ett URL-säkert hög-entropivärde för HMAC JWT signering. Det är en utvecklarhemlighet, inte ett användarlösenord, och lämnar aldrig denna webbläsare.
Denna förinställning startar i url-safe-läge och genererar 10 oberoende resultat åt gången. Alla synliga inställningar är justerbara, och genererade värden skickas inte till PwdGen.
När du ska använda den
- Skapa en ny uppgift för detta specifika användningsfall
- Ersätta ett återanvänt eller svagt lösenord
- Generera värden lokalt före säker lagring
Alfabetstorlek, entropi och brute-force-antaganden
Det teoretiska entropitaket beräknas som H = L × log2(A), där L är den genererade längden och A är antalet för närvarande tillåtna tecken.
| Längd | Alfabet | Sökrymd | Entropitak | Genomsnitt vid 10 miljarder gissningar/s |
|---|---|---|---|---|
| 64 | 64 | 6464 | 384.0 bitar | 6.24e97 years |
Viktigt: detta är matematiska uppskattningar för likformigt slumpmässiga värden. Obligatoriska positioner, begränsade antal, upprepade lösenord, ordböcker, läckta inloggningsuppgifter och verkliga lösenordshashningskostnader kan förändra resultatet avsevärt. Siffran är ingen säkerhetsgaranti.
JWT-distributionsvägledning för signeringshemlighet
För HS256, använd minst 256 bitar av likformigt slumpmässigt nyckelmaterial. HS384 och HS512 använder olika SHA-2-utdatastorlekar, men att välja en längre algoritm reparerar inte svag verifiering, läckta nycklar eller algoritm-förvirringsbuggar.
Motsvarande terminal- och Node.js-generering
openssl rand -hex 32import { randomBytes } from 'node:crypto';
const jwtSecret = randomBytes(32).toString('hex');Lagring och rotation
- Håll signeringsnycklar utanför Git, frontend-paket, URL:er, analysverktyg och applikationsloggar.
- Använd en hemlighetshanterare, Vault, KMS eller skyddad miljövariabel.
- Använd en kontrollerad kid-strategi vid rotation av nycklar.
- Välj RS256 eller ES256 när verifierare endast ska ha en publik nyckel.
Hex, Base64 och Base64URL är kodningar – inte kryptering. Säkerheten kommer från de slumpmässiga byten och hur signeringsnyckeln skyddas.
Hur du använder resultatet på ett säkert sätt
- Kontrollera destinationens nuvarande lösenordsregler
- Använd ett unikt resultat och aktivera MFA där det är tillgängligt
- Förvara återställningskoder separat från lösenordet
Genererings- och integritetsmetod
Förinställningen använder webbläsarens Web Crypto API för slumpmässigt urval. Att regenerera, ändra inställningar, välja och kopiera resultat skickar inte genererade inloggningsuppgifter till PwdGen. Lösenordets crack-tidsuppskattning körs också lokalt och är en uppskattning, inte en garanti.
JWT-hemlig nyckel generator FAQ
Hur lång bör en HS256 JWT hemlighet vara?
Använd minst 256 bitar av enhetligt slumpmässigt nyckelmaterial för HS256. Denna sida genererar ett 64-teckens Base64URL-alfabetsvärde, vilket ger ett större teoretiskt sökutrymme när det genereras enhetligt.
Bör en JWT hemlighet lagras i en miljövariabel?
En miljövariabel är säkrare än källkod men kan fortfarande läcka genom processinspektion, loggar eller distributionsverktyg. En hanterad hemlighetsbutik eller KMS är att föredra för produktionssystem.
När ska jag använda RS256 eller ES256 istället för HMAC?
Använd asymmetrisk signering när verifierare inte bör inneha den privata signeringsnyckeln eller när flera tjänster behöver verifiering med offentlig nyckel. Skydda den privata nyckeln och rotera nycklar med en kontrollerad nyckelidentifieringsstrategi.