Generator Token Acak
Buat token acak yang aman secara kriptografis untuk sesi, reset kata sandi, CSRF, dan undangan. Hex, Base64url, Base32, atau alfanumerik; default 256 bit.
Opsional, mis. sk_live_ atau myapp_. Membuat kunci mudah dikenali dan lebih mudah dideteksi jika bocor di kode.
256 bit entropi · 64 karakter per nilai
Dibuat secara lokal dengan crypto.getRandomValues; tidak ada yang dikirim atau disimpan. Simpan secret di variabel lingkungan atau secret manager, jangan di kode sumber.
Apa itu Generator Token Acak?
Buat token acak yang tak dapat ditebak untuk tautan reset kata sandi, verifikasi email, kode undangan, perlindungan CSRF, ID sesi, atau rahasia sekali pakai apa pun. Defaultnya 32 byte acak (256 bit) yang ditampilkan sebagai 64 karakter hex; Anda dapat beralih ke keluaran Base64url yang aman untuk URL, Base32, Base64, atau alfanumerik.
Cara menggunakan Generator Token Acak
- Pilih Format: hex paling umum, Base64url lebih pendek dan aman dipakai di URL.
- Atur jumlah Byte acak (atau Panjang (karakter) untuk format alfanumerik).
- Pilih Jumlah token yang akan dibuat dan klik Buat ulang untuk kumpulan baru.
- Salin tokennya.
Contoh
Format Base64url, 32 random bytes, How many 1
81u4aRrBPjZmdbKks_Gh_FDt4AKsSY4FQllDH0mkThk
256 bit, 43 karakter. Acak, jadi hasil Anda akan berbeda.
Kapan menggunakan Generator Token Acak
Pakai token ini di mana pun kepemilikan nilainya memberi akses dan nilai itu tidak boleh dapat ditebak. Untuk nilai yang butuh struktur atau masa berlaku di dalamnya (claim, tanda tangan), gunakan JWT; untuk ID database yang tidak perlu rahasia, UUID lebih sederhana.
Cara kerja Generator Token Acak
Alat ini meminta N byte acak dari CSPRNG browser (crypto.getRandomValues) dan mengodekannya: hex memakai dua karakter per byte, Base64url (RFC 4648 §5) memakai A-Z a-z 0-9 - _ tanpa padding, Base32 memakai A-Z 2-7. Baris entropi menampilkan bit keacakan (8 × byte) dan panjang hasilnya, serta memberi peringatan di bawah 128 bit.
Kasus Penggunaan Umum
- Tautan reset kata sandi dan verifikasi email
- Pengenal sesi dan token CSRF
- Kode undangan atau unduhan sekali pakai
- Secret webhook dan kunci tanda tangan bersama
Catatan Keamanan
Perlakukan token seperti kata sandi: beri masa berlaku, nonaktifkan setelah dipakai, dan simpan hanya hash-nya di server bila memungkinkan.
Pertanyaan Umum
Hex atau Base64url?
Keduanya membawa keacakan yang sama untuk jumlah byte yang sama. Base64url sekitar sepertiga lebih pendek (43 vs 64 karakter untuk 32 byte) dan aman di URL; hex lebih mudah dibaca dan dibandingkan.
Berapa byte yang saya butuhkan?
16 byte (128 bit) adalah batas minimum umum untuk token keamanan; 32 byte (256 bit) memberi margin yang nyaman.
Amankah membuat token di browser?
Ya. crypto.getRandomValues adalah generator yang aman secara kriptografis, dan tidak ada yang dikirim ke server. Untuk token yang diterbitkan aplikasi Anda kepada pengguna, buat di server Anda dengan jenis CSPRNG yang sama.