Генератор случайных токенов
Создавайте криптографически стойкие случайные токены для сессий, сброса пароля, CSRF и приглашений. Hex, Base64url, Base32 или буквы и цифры; по умолчанию 256 бит.
Необязательно, например sk_live_ или myapp_. Так ключи легче узнать и обнаружить при утечке в коде.
256 бит энтропии · 64 символов в значении
Генерируется локально через crypto.getRandomValues; ничего не отправляется и не сохраняется. Храните секреты в переменных окружения или менеджере секретов, а не в исходном коде.
Что такое Генератор случайных токенов?
Создавайте непредсказуемые случайные токены для ссылок сброса пароля, подтверждения почты, кодов приглашения, защиты от CSRF, идентификаторов сессий и любых одноразовых секретов. По умолчанию это 32 случайных байта (256 бит) в виде 64 hex-символов; можно переключиться на безопасный для URL Base64url, Base32, Base64 или буквы и цифры.
Как пользоваться Генератор случайных токенов
- Выберите Формат: hex встречается чаще всего, Base64url короче и безопасен в URL.
- Задайте число Случайных байтов (или Длина (символов) для форматов из букв и цифр).
- Выберите Количество токенов и нажмите Сгенерировать заново, чтобы получить новый набор.
- Скопируйте токены.
Пример
Format Base64url, 32 random bytes, How many 1
81u4aRrBPjZmdbKks_Gh_FDt4AKsSY4FQllDH0mkThk
256 бит, 43 символа. Значение случайное — у вас будет другое.
Когда использовать Генератор случайных токенов
Используйте такие токены везде, где обладание значением даёт доступ и его нельзя угадать. Для значений, внутри которых нужны структура или срок действия (claims, подписи), используйте JWT; для идентификаторов в базе, которые не обязаны быть секретными, проще UUID.
Как работает Генератор случайных токенов
Инструмент запрашивает N случайных байт у CSPRNG браузера (crypto.getRandomValues) и кодирует их: hex использует два символа на байт, Base64url (RFC 4648 §5) — A-Z a-z 0-9 - _ без заполнения, Base32 — A-Z 2-7. Строка энтропии показывает число бит случайности (8 × байты) и получившуюся длину и предупреждает, если бит меньше 128.
Распространенные Случаи Использования
- Ссылки сброса пароля и подтверждения почты
- Идентификаторы сессий и токены CSRF
- Коды приглашения и одноразовые коды загрузки
- Секреты вебхуков и общие ключи подписи
Примечание по Безопасности
Относитесь к токенам как к паролям: задавайте срок действия, аннулируйте их после использования и по возможности храните на сервере только хеш.
Часто Задаваемые Вопросы
Hex или Base64url?
При одинаковом числе байт случайность одна и та же. Base64url примерно на треть короче (43 против 64 символов для 32 байт) и безопасен в URL; hex проще читать и сравнивать.
Сколько байт нужно?
16 байт (128 бит) — обычный минимум для токенов безопасности; 32 байта (256 бит) дают комфортный запас.
Безопасно ли создавать токены в браузере?
Да. crypto.getRandomValues — криптографически стойкий генератор, и ничего не отправляется на сервер. Токены, которые ваше приложение выдаёт пользователям, создавайте на сервере с таким же CSPRNG.