Generator sekretu JWT

Sekret, którym warto podpisywać

JWT podpisany przez HMAC jest tak mocny, jak jego sekret. Kto go odgadnie, może tworzyć tokeny, którym Twój serwer zaufa, a krótkie lub wymyślone przez człowieka sekrety to pierwsze, co sprawdzają narzędzia do łamania offline. Ten generator pobiera klucz z kryptograficznego generatora liczb losowych Twojej przeglądarki, w długości wymaganej przez algorytm.

Jak długi powinien być sekret

• HS256 wymaga co najmniej 32 bajtów (256 bitów). Krótszy klucz jest słabszy niż hasz, z którym jest używany, a wiele bibliotek go odrzuca.
• HS384 wymaga co najmniej 48 bajtów (384 bitów).
• HS512 wymaga co najmniej 64 bajtów (512 bitów).
• Dłuższy też jest w porządku. Klucz dłuższy niż rozmiar bloku funkcji skrótu jest najpierw haszowany, więc powyżej 64 bajtów dla HS256 i 128 bajtów dla HS512 nic się nie zyskuje.

Jak używać sekretu

• Nie trzymaj go w kodzie. Umieść go w zmiennej środowiskowej lub menedżerze sekretów. „Kopiuj jako .env” daje gotową linię do wklejenia.
• Zwróć uwagę na kodowanie. Niektóre biblioteki przyjmują sekret jako tekst, inne oczekują surowych bajtów w Base64. Jeśli dekodujesz go do bajtów, wybierz tutaj Base64 lub Base64URL, a jeśli biblioteka używa ciągu bez zmian, najbezpieczniejszy jest hex.
• Zmiana sekretu wylogowuje wszystkich. Każdy token podpisany starym sekretem przestaje przechodzić weryfikację, więc zaplanuj rotację, zamiast robić ją w pośpiechu.
• Przetestuj przed wdrożeniem. „Przetestuj w dekoderze JWT” otwiera dekoder z przykładowym tokenem podpisanym tym sekretem, dzięki czemu zobaczysz, jak wygląda prawidłowy podpis.

Najczęstsze pytania

Jak wygenerować sekretny klucz JWT?

Wybierz algorytm używany przez Twój serwer, a sekret o odpowiedniej długości zostanie wygenerowany od razu. Wybierz kodowanie, którego oczekuje Twoja biblioteka, i skopiuj sekret albo gotową linię .env. Naciśnij „Generuj ponownie”, aby dostać nowy.

Jak długi powinien być sekret JWT dla HS256?

Co najmniej 32 bajty, czyli 256 bitów: 64 znaki hex lub 43 znaki Base64URL. Krótszy sekret jest słabszy niż hasz SHA-256, z którym jest używany.

Czy generowanie sekretu w przeglądarce jest bezpieczne?

Tak. Klucz pochodzi z crypto.getRandomValues, tego samego kryptograficznego generatora, którego przeglądarki używają w TLS, i powstaje na Twoim urządzeniu. Nie jest wysyłany na serwer, logowany ani zapisywany.

Hex czy Base64 dla mojego sekretu JWT?

Oba zawierają te same losowe bajty. Hex jest najbezpieczniejszy, gdy biblioteka traktuje sekret jako zwykły tekst. Base64 lub Base64URL jest właściwy, gdy biblioteka najpierw dekoduje sekret do surowych bajtów, jak tego wymaga wiele opcji konfiguracji.

Czy mogę użyć hasła jako sekretu JWT?

To zły pomysł. Hasła są krótkie i przewidywalne w porównaniu z 32 losowymi bajtami, a każdy, kto ma jeden z Twoich tokenów, może zgadywać sekret offline tak szybko, jak pozwala mu sprzęt.