Préréglages :
floobits.com
floobits.com
🔐 Sécurité
Choisissez le nombre d'octets et le format pour obtenir un secret cryptographiquement aléatoire, prêt à copier. Rien n'est envoyé.
Par Jimenez Julien, éditeur de Floobits.com · mis à jour le
Un token aléatoire sert de clé d'API, de secret de signature, de jeton de session ou de protection CSRF. Sa sécurité repose uniquement sur l'imprévisibilité de ses octets : il faut une source aléatoire cryptographique, jamais Math.random. Cet outil utilise crypto.getRandomValues, l'interface du navigateur reliée au générateur du système d'exploitation.
Vous choisissez la taille en octets, de 4 à 256, donc de 32 à 2048 bits, et le format d'écriture : hexadécimal (2 caractères par octet), base64 (environ 1,33 caractère par octet), base64url, adapté aux URL et aux en-têtes car sans les symboles +, / et =, ou base32. Un préfixe facultatif, comme sk_live_, aide à repérer le type d'une clé. Dans tous les cas l'entropie reste celle des octets tirés.
Repères usuels : 16 octets (128 bits) suffisent pour un identifiant de session, 32 octets (256 bits) conviennent aux clés d'API et aux secrets HMAC SHA-256, 64 octets pour HMAC SHA-512. Stockez ces secrets dans un gestionnaire dédié ou des variables d'environnement, jamais dans le code source. Les valeurs générées ne sont ni envoyées ni conservées.
32 octets (256 bits) est un bon standard. 16 octets (128 bits) restent hors de portée d'une attaque par force brute, mais 32 offre une marge confortable.
Base64url remplace + par - et / par _, et supprime le remplissage =. Elle s'intègre sans encodage dans une URL, un nom de fichier ou un jeton JWT.
Oui, ils proviennent de crypto.getRandomValues, une source conçue pour la cryptographie. Math.random ne doit jamais servir à produire des secrets.