Générateur de jetons aléatoires
Créez des jetons aléatoires cryptographiquement sûrs pour sessions, réinitialisations de mot de passe, CSRF et invitations. Hex, Base64url, Base32 ou alphanumérique ; 256 bits.
Facultatif, p. ex. sk_live_ ou monapp_. Il rend les clés reconnaissables et plus faciles à détecter en cas de fuite dans le code.
256 bits d’entropie · 64 caractères par valeur
Généré localement avec crypto.getRandomValues ; rien n’est envoyé ni stocké. Conservez vos secrets dans des variables d’environnement ou un gestionnaire de secrets, jamais dans le code source.
Qu'est-ce que Générateur de jetons aléatoires ?
Générez des jetons aléatoires impossibles à deviner pour des liens de réinitialisation de mot de passe, la vérification d'e-mail, des codes d'invitation, la protection CSRF, des identifiants de session ou tout secret à usage unique. Par défaut, 32 octets aléatoires (256 bits) affichés en 64 caractères hex ; vous pouvez passer à une sortie Base64url compatible URL, Base32, Base64 ou alphanumérique.
Comment utiliser Générateur de jetons aléatoires
- Choisissez le Format : l'hex est le plus courant, le Base64url est plus court et sûr dans les URL.
- Définissez le nombre d'Octets aléatoires (ou la Longueur en caractères pour les formats alphanumériques).
- Choisissez le Nombre de jetons à générer et cliquez sur Régénérer pour un nouvel ensemble.
- Copiez les jetons.
Exemple
Format Base64url, 32 random bytes, How many 1
81u4aRrBPjZmdbKks_Gh_FDt4AKsSY4FQllDH0mkThk
256 bits, 43 caractères. Aléatoire — le vôtre sera différent.
Quand utiliser Générateur de jetons aléatoires
Utilisez ces jetons partout où la possession de la valeur donne un accès et où elle ne doit pas pouvoir être devinée. Pour des valeurs qui nécessitent une structure ou une expiration intégrées (claims, signatures), utilisez plutôt des JWT ; pour des identifiants de base de données qui n'ont pas besoin d'être secrets, les UUID sont plus simples.
Comment fonctionne Générateur de jetons aléatoires
L'outil demande N octets aléatoires au CSPRNG du navigateur (crypto.getRandomValues) et les encode : l'hex utilise deux caractères par octet, le Base64url (RFC 4648 §5) utilise A-Z a-z 0-9 - _ sans remplissage, le Base32 utilise A-Z 2-7. La ligne d'entropie indique les bits d'aléa (8 × octets) et la longueur obtenue, et avertit en dessous de 128 bits.
Cas d'utilisation courants
- Liens de réinitialisation de mot de passe et de vérification d'e-mail
- Identifiants de session et jetons CSRF
- Codes d'invitation ou de téléchargement à usage unique
- Secrets de webhooks et clés de signature partagées
Note de Sécurité
Traitez les jetons comme des mots de passe : donnez-leur une expiration, invalidez-les après usage et ne stockez qu'un hash côté serveur quand c'est possible.
Questions Fréquentes
Hex ou Base64url ?
Les deux portent le même aléa pour un même nombre d'octets. Le Base64url est environ un tiers plus court (43 contre 64 caractères pour 32 octets) et sûr dans les URL ; l'hex est plus facile à lire et à comparer.
De combien d'octets ai-je besoin ?
16 octets (128 bits) est le minimum habituel pour les jetons de sécurité ; 32 octets (256 bits) laissent une marge confortable.
Est-il sûr de générer des jetons dans le navigateur ?
Oui. crypto.getRandomValues est un générateur cryptographiquement sûr et rien n'est envoyé à un serveur. Pour les jetons que votre application émet aux utilisateurs, générez-les sur votre serveur avec le même type de CSPRNG.