Zum Hauptinhalt springen
Bethemesh
Sicherheit & Datenschutz

Generator für sichere Token

Erstelle bis zu 20 Zufallstoken auf einmal für API-Schlüssel, Webhook-Secrets oder Session-Token, in Hex, Base64 oder Base64URL, mit Präfix wie sk_live_ und angezeigter Entropie. Lokal erzeugt.

  • Zwischenablage

Dieses Widget einbetten

Passe die Darstellung an, prüfe die Vorschau und kopiere anschließend den Code.

Vorschau

Art des Einbettungscodes

Zu kopierender Code

Responsive und automatisch von Bethemesh in der Größe angepasst.

Erzeugte Token

War dieses Werkzeug hilfreich?

Wie funktioniert dieses Tool?

Dieser Generator erzeugt kryptografisch sichere Zufallstoken von 8 bis 256 Byte, bis zu 20 auf einmal, in Hex, Base64 oder Base64URL. Er ist für Entwickler und Administratoren gedacht, die einen API-Schlüssel, ein Webhook-Secret, ein Reset-Token oder einen Signaturschlüssel brauchen, ohne ein Terminal zu öffnen.

Die Bytes stammen aus crypto.getRandomValues, dem kryptografischen Zufallsgenerator des Browsers, der vom Betriebssystem gespeist wird, und nicht aus Math.random, das vorhersagbar ist. Die angezeigte Entropie ist einfach die Byteanzahl mal 8: Die standardmäßigen 32 Byte ergeben 256 Bit, also 2^256 mögliche Werte, weit mehr, als ein Brute-Force-Angriff je durchprobieren kann. Für ein Authentifizierungstoken sind 128 Bit (16 Byte) eine vernünftige Untergrenze, 256 Bit eine komfortable Wahl für einen API-Schlüssel oder ein HMAC-Secret.

Die Kodierung ändert nichts an der Sicherheit, nur an Länge und verwendeten Zeichen. Dieselben 32 Byte ergeben 64 Zeichen in Hex, 44 in Base64 mit dem abschließenden „=“ und 43 in Base64URL (RFC 4648, Abschnitt 5), das „+“ und „/“ durch „-“ und „_“ ersetzt und das Padding weglässt, damit das Token unverändert in einer URL, einem HTTP-Header oder einem Dateinamen stehen kann. Das optionale Präfix, etwa sk_live_, wird vor das Token gesetzt und zählt nicht zur Entropie: Es zeigt den Schlüsseltyp auf einen Blick und hilft Secret-Scannern wie dem von GitHub, ein Leck zu erkennen.

So verwenden Sie dieses Tool

  1. Größe und Format einstellen

    Wähle die Byteanzahl (8 bis 256, standardmäßig 32) und das Ausgabeformat: Hex, Base64 oder Base64URL. Die zugehörige Entropie in Bit wird angezeigt.

  2. Präfix und Anzahl festlegen

    Gib bei Bedarf ein Präfix wie sk_live_ ein und lege fest, wie viele Token erzeugt werden sollen, von 1 bis 20.

  3. Erzeugen und kopieren

    Starte die Erzeugung: Jedes Token erscheint in der Liste und lässt sich direkt in deine Konfiguration oder deinen Secrets-Manager kopieren.

Anwendungsfälle

Einen API-Schlüssel für deinen Dienst ausgeben

Erzeuge einen 32-Byte-Schlüssel in Base64URL mit einem Präfix wie myapp_live_, zeig ihn dem Kunden nur einmal und speichere auf dem Server nur seinen SHA-256-Hash.

Ein Webhook-Secret festlegen

GitHub, Stripe und Shopify signieren ihre Webhooks mit einem gemeinsamen Secret: Erzeuge eines in Hex, trag es in die Einstellungen des Anbieters und in deine App ein und prüfe damit die HMAC-Signatur.

Die Secrets einer .env-Datei befüllen

Erzeuge auf einmal mehrere Werte für SESSION_SECRET, APP_KEY oder JWT_SECRET, um eine Entwicklungs- oder Staging-Umgebung mit getrennten Secrets einzurichten.

Tipps und bewährte Vorgehensweisen

  • Für ein Token in einer URL oder einem Query-Parameter wählst du Base64URL: Die Zeichen „+“, „/“ und „=“ des normalen Base64 werden in URLs verändert oder falsch interpretiert.
  • Speichere API-Schlüssel nicht im Klartext: Lege ihren SHA-256-Hash in der Datenbank ab und vergleiche den Hash bei jeder Anfrage. Für ein 256-Bit-Zufallstoken reicht ein schneller Hash, anders als bei einem Passwort.
  • Ein Präfix macht ein Token nicht sicherer: Musst du eine Maximallänge einhalten, kürze das Präfix und nicht die Anzahl der Zufallsbytes.

Häufig gestellte Fragen

Wie lang sollte ein API-Schlüssel sein?

Ziel sind mindestens 128 Bit Entropie, also 16 Byte, besser 256 Bit, also 32 Byte, der Standardwert. Das ergibt 43 Zeichen in Base64URL oder 64 in Hex. Darüber hinaus ist der Sicherheitsgewinn vernachlässigbar, der Schlüssel wird nur unhandlicher.

Hex, Base64 oder Base64URL: Was soll ich wählen?

Alle drei stellen dieselben Bytes dar und bieten dieselbe Sicherheit. Hex ist am besten lesbar und am kompatibelsten, Base64 ist kompakter, und Base64URL ist genauso kompakt und zugleich sicher in URLs, Headern und Dateinamen. Richte dich nach dem Format, das der Dienst oder die Bibliothek erwartet, die das Token verwendet.

Ist crypto.getRandomValues wirklich sicher?

Ja, es ist der kryptografische Zufallsgenerator der Web Crypto API und wird vom Betriebssystem gespeist, wie /dev/urandom oder os.urandom. Er eignet sich zum Erzeugen von Schlüsseln und Token. Math.random ist dagegen nicht für Sicherheit gedacht, seine Ausgaben lassen sich vorhersagen.

Wozu dient ein Präfix wie sk_live_?

Ein Präfix zeigt die Art des Schlüssels, etwa geheim oder öffentlich, Produktion oder Test, ohne seinen Wert zu verraten. Es erleichtert den Support und lässt Tools zur Secret-Erkennung einen in einem Git-Repository veröffentlichten Schlüssel erkennen. Stripe (sk_live_) und GitHub (ghp_) nutzen Präfixe aus genau diesem Grund.

Was ist der Unterschied zwischen einem Zufallstoken und einer UUID?

Eine UUID v4 enthält nur 122 zufällige Bit und dient vor allem als eindeutige Kennung; manche Versionen wie v1 oder v7 enthalten sogar einen vorhersagbaren Zeitstempel. Für ein Secret bietet ein zufälliges 32-Byte-Token 256 Bit Entropie und verrät nichts. Nutze eine UUID zum Identifizieren und ein Token zum Authentifizieren.

Werden die erzeugten Token irgendwo gespeichert?

Nein: Sie entstehen in deinem Browser und existieren nur auf der Seite, bis du sie kopierst. Kein Token wird übertragen oder protokolliert. Kopiere sie direkt in deinen Secrets-Manager und schließ die Seite, wenn du fertig bist.

Verwandte Werkzeuge

Mit diesen Werkzeugen weitermachen

Werkzeuge, die diesem ähnlich sind oder es ergänzen.

Passt gut zu

Passwort-Generator

Erzeuge starke Zufallspasswörter mit 8 bis 128 Zeichen und angezeigter Entropie.

Sicherheit & DatenschutzEmpfohlenDieses Werkzeug verwenden

OAuth-PKCE-Generator

Erzeuge einen PKCE-code_verifier, die zugehörige S256-code_challenge und einen state für deine OAuth-Autorisierungsanfrage.

Sicherheit & DatenschutzNeuDieses Werkzeug verwenden

HMAC-Generator und -Prüfer

Berechne ein HMAC-SHA-1, SHA-256, SHA-384 oder SHA-512 in Hex oder Base64 und prüfe eine Webhook-Signatur.

Sicherheit & DatenschutzNeuDieses Werkzeug verwenden

Auch interessant

ReferenzKonzepte und TechnologienAnfänger

RGB, HEX oder HSL: Welche Notation ist sinnvoll?

Verstehe, wie RGB, HEX und HSL dieselben Webfarben unterschiedlich beschreiben und wann welche Notation in CSS, Design und Entwicklung praktisch ist.

31. August 20264 min