مولّد مفاتيح API
ولّد مفاتيح API عشوائية آمنة ببادئة مخصصة مثل sk_live_. أحرف وأرقام أو Hex أو Base64url أو Base32 بأي طول، مع عرض الإنتروبيا بالبت.
اختيارية، مثل sk_live_ أو myapp_. تجعل المفاتيح سهلة التمييز وأسهل اكتشافًا إذا تسربت في الكود.
190 بت من الإنتروبيا · 35 حرفًا لكل قيمة
يُولَّد محليًا باستخدام crypto.getRandomValues؛ لا يُرسل أو يُخزن أي شيء. احفظ الأسرار في متغيرات البيئة أو مدير أسرار، ولا تضعها في الكود المصدري أبدًا.
ما هو مولّد مفاتيح API؟
أنشئ مفاتيح API عشوائية لخدماتك: افتراضيًا 32 حرفًا ورقمًا مع بادئة sk_، كالمفاتيح التي تصدرها منتجات SaaS كثيرة. يمكنك تغيير البادئة ومجموعة الأحرف (أحرف وأرقام وHex وBase64url وBase32…) والطول وعدد المفاتيح المولَّدة. وتُعرض إنتروبيا كل مفتاح لتتأكد من قوته.
كيفية استخدام مولّد مفاتيح API
- اضبط البادئة (مثل
sk_live_أوmyapp_) أو اتركها فارغة. - اختر التنسيق والطول (بالأحرف، أو بايتات عشوائية لصيغ Hex/Base64).
- حدّد العدد من المفاتيح واضغط إعادة الإنشاء لمفاتيح جديدة.
- انسخ المفاتيح وخزّنها مجزَّأة (hash) على خادمك.
مثال
Prefix sk_, Letters and digits, Length 32
sk_7M1R2Vhc2z6q19CVQAGIOp87bJXcY0wA
190 بتًّا من الإنتروبيا. عشوائي — سيختلف مفتاحك.
متى تستخدم مولّد مفاتيح API
استخدمه عند بناء API وتحتاج إلى إصدار مفاتيح للعملاء، أو حين تطلب منك خدمة تعريف مفتاح مشترك خاص بك. استهدف 128 بتًّا من الإنتروبيا على الأقل. لا تستخدمه لإنشاء كلمات مرور يكتبها الناس، ولا تخزّن المفاتيح المولَّدة كنص صريح في قاعدة بياناتك.
كيف يعمل مولّد مفاتيح API
تأتي العشوائية من crypto.getRandomValues. في صيغ الأحرف يُختار كل حرف بانتظام من الأبجدية بأخذ العينات بالرفض، فتكون الإنتروبيا length × log2(alphabet size) — فكل 32 حرفًا ورقمًا تعطي 32 × 5.95 ≈ 190 بتًّا. وفي صيغ البايتات تسحب الأداة N بايتًا عشوائيًا وترمّزها (Hex أو Base64 أو Base64url أو Base32 وفق RFC 4648)، فتعطي 8 × N بتًّا. وتُضاف البادئة في المقدمة ولا تضيف إنتروبيا.
حالات الاستخدام الشائعة
- إصدار مفاتيح API لعملاء منتج SaaS
- إنشاء مفاتيح للاستدعاءات الداخلية بين الخدمات
- توليد أسرار توقيع Webhook
- إنتاج مفاتيح اختبار لبيئات الاختبار المرحلي
ملاحظة أمنية
تُولَّد المفاتيح محليًا ولا تُرسَل أبدًا. اعرض المفتاح لصاحبه مرة واحدة فقط، وخزّن تجزئته، ودع المستخدمين يلغون المفاتيح ويدوّرونها.
الأسئلة الشائعة
ما الطول المناسب لمفتاح API؟
128 بتًّا من الإنتروبيا على الأقل: 22 حرفًا ورقمًا فأكثر أو 16 بايتًا عشوائيًا فأكثر. وتعطي القيمة الافتراضية 32 حرفًا ورقمًا نحو 190 بتًّا.
لماذا نضيف بادئة؟
تجعل بادئات مثل sk_live_ الغرض من المفتاح واضحًا، وتساعد المستخدمين على عدم الخلط بين مفاتيح الاختبار والإنتاج، وتتيح لماسحات الأسرار (مثل فحص الأسرار في GitHub) اكتشاف المفاتيح المسرّبة.
كيف أخزّن مفاتيح API على الخادم؟
خزّن تجزئة فقط (مثل SHA-256) لكل مفتاح وقارن التجزئات عند وصول الطلب، كما تفعل مع كلمات المرور، حتى لا يكشف تسرّب قاعدة البيانات مفاتيح صالحة.