API-Schlüssel-Generator

So verwenden Sie den API-Schlüssel-Generator

1. Wählen Sie Format, Zielentropie und Anzahl. Beginnen Sie mit 256 Bits und Base64URL, sofern Ihre Anwendung nichts anderes vorgibt.
2. Öffnen Sie die erweiterten Optionen für Zusätze, Zeichensätze oder öffentliche IDs. Prüfen Sie vor der Erzeugung die berechnete Länge.
3. Erzeugen Sie die Schlüssel und kopieren Sie einen einzelnen Wert oder prüfen Sie den Export. Produktionsgeheimnisse gehören in Ihre Geheimnisverwaltung, nicht in öffentliche Dokumente.
4. Registrieren Sie das Geheimnis in Ihrer Anwendung. Legen Sie dort Zugriff, Ablauf und Widerruf fest. Löschen Sie anschließend die Ergebnisse dieser Seite.

Für den praktischen Umgang mit Geheimnissen

Die einfache Aufgabe bleibt einfach: Format wählen, erzeugen, kopieren. Für besondere Integrationen stehen Byte-Kodierungen, Zeichensätze, Anwendungskennzeichnungen, öffentliche Schlüssel-IDs und Stapel mit bis zu 1.000 Werten bereit. Anmeldung und Installation sind nicht nötig. Die folgenden Hinweise helfen bei der bewussten Auswahl, denn ein länger aussehender Text ist nicht automatisch stärker.

Formate passend zu Ihrer Anwendung

Base64URL vermeidet Plus und Schrägstrich aus normalem Base64 und lässt Padding weg. Hexadezimal ist gut lesbar und weit verbreitet, braucht für dieselben Bytes aber mehr Zeichen. Base32 verwendet hier A–Z und 2–7 ohne Padding. Normales Base64 behält sein standardmäßiges Padding. Prüfen Sie stets die Anforderungen der empfangenden Anwendung. Kodierung ist keine Verschlüsselung.

Eigene Zeichensätze mit korrekten Entropieangaben

Wählen Sie Buchstaben, Ziffern, einen festgelegten Symbolsatz oder einen eigenen druckbaren ASCII-Zeichensatz. Doppelte Zeichen werden entfernt, damit sie keine höhere Wahrscheinlichkeit erhalten. Der Ähnlichkeitsfilter entfernt 0, O, 1, I, l und |. Bei einem Bit-Ziel berechnen wir die nötige Länge; eine genaue Zeichenzahl erfüllt dagegen feste Feldgrenzen. Kleinere Zeichensätze brauchen mehr Zeichen für dieselbe theoretische Entropie.

Sinnvolle Vorlagen, keine Anbieter-Zugangsdaten

API-Token beginnt mit 256-Bit-Base64URL. Webhook-Geheimnis nutzt 256-Bit-Hex für ein eigenes Prüfsystem mit gemeinsamem Geheimnis. Anwendungsgeheimnis verwendet 512-Bit-Base64URL; Entwicklungsstapel bereitet zehn 256-Bit-Tokens vor. Das sind Einstellungsvorlagen, keine allgemeingültigen Standards oder von Anbietern ausgestellten Schlüssel. Präfixe und Suffixe kennzeichnen Anwendung oder Umgebung. Ein live_-Zusatz aktiviert jedoch keinen Schlüssel und verleiht keine Rechte.

Vom einzelnen Schlüssel zum sauberen Export

Kopieren Sie einzelne Geheimnisse oder den ganzen Stapel. Optionale Paare enthalten eine separate öffentliche 96-Bit-Zufalls-ID zum Auffinden eines Zugangsdaten-Datensatzes. Halten Sie das Geheimnis privat und verwenden Sie die ID nicht zur Authentifizierung. JSON erhält Werte exakt. TXT unterstützt Zeilen, Kommas oder Leerzeichen. CSV maskiert Zellen und entschärft führende Formelzeichen, gegebenenfalls mit einem Apostroph. .env prüft Variablennamen und lehnt ungeeignete Anführungszeichen ab. Es ist für Node dotenv gedacht, nicht als Shellskript. Downloads sind Klartextgeheimnisse, keine verschlüsselten Sicherungen.

So berechnen wir Bits, Bytes und Zeichen

Für Byte-Formate erzeugen wir ceil(Zielbits / 8) Zufallsbytes und geben Bytes × 8 nominelle Zufallsbits an. Bei N unabhängigen, gleichverteilten Zeichen aus A verschiedenen Zeichen beträgt die theoretische Entropie N × log₂(A). Ein Bit-Ziel braucht daher ceil(Zielbits / log₂(A)) Zeichen. 256 Bits mit ausschließlich Ziffern erfordern beispielsweise 78 Ziffern, nicht 32. Präfixe, Suffixe und eine öffentliche ID zählen nicht zur Entropie des Geheimnisses. Diese Rechnung beschreibt das Verfahren, ist aber keine Messung oder Zertifizierung der Browser-Zufallsquelle.

Ein Zufallswert, verschiedene Darstellungen

32 bytes × 8 = 256 bits

Diese Längen enthalten keine Präfixe oder Suffixe. Die Kodierung ändert die Darstellung, nicht die zugrunde liegende Zufälligkeit.

Unsere Erzeugungsmethodik

Der Generator verwendet crypto.getRandomValues und verlangt einen sicheren Browserkontext. Math.random, Zeitstempel, Tastaturaktivität oder vorhersehbare Seeds werden nie als Ersatz genutzt. Byte-Kodierungen stellen die Daten verlustfrei dar. Für Zeichensätze verwenden wir Rejection Sampling: Werte im ungleich verteilten Restbereich werden vor der Zuordnung verworfen. So entsteht nicht die Verzerrung, die eine reine Modulo-Zuordnung verursachen kann, wenn die Zeichensatzgröße kein Teiler von 256 ist. Jeder Stapel wird auf wiederholte Geheimnisse und IDs geprüft. Begrenzte Wiederholungsversuche enden nötigenfalls mit einem Fehler statt einem Teilergebnis.

Was im Browser bleibt

Erzeugung und Exportvorbereitung erfolgen lokal. ClockTools sendet erzeugte Werte nicht an Server und schreibt sie weder in URLs noch in Analysen oder dauerhaften Speicher. Die Seite startet auch beim Wechsel von einem anderen Tool in einem neuen Dokument ohne unsere Analyse- und Sitzungsaufzeichnungsprogramme. Gespeicherte und geteilte Einstellungen enthalten keine Freitextfelder oder Schlüssel. Normale Seitenaufrufe erreichen weiterhin den Hostinganbieter. Kopieren überträgt das Geheimnis in die Zwischenablage; Downloads schreiben Klartextdateien. Erweiterungen, synchronisierte Zwischenablagen, Schadsoftware oder mitlesende Personen bleiben Risiken. Löschen entfernt die Ergebnisse aus der Oberfläche, garantiert aber weder sichere Speicherlöschung noch das Entfernen externer Kopien.

Erzeugte Schlüssel sicher einsetzen

Ein Zufallstext wird erst durch Registrierung und Prüfung in Ihrer Anwendung zum API-Zugangsschlüssel. Regeln Sie dort minimale Rechte, HTTPS-Übertragung, Widerruf, Ablauf und Rotation. Servergeheimnisse gehören weder in Frontend-Bundles noch in Repositories. Nutzen Sie für Produktionszugangsdaten eine geeignete Geheimnisverwaltung. In besonders sensiblen Umgebungen ist die Erzeugung innerhalb der eigenen vertrauenswürdigen Infrastruktur vorzuziehen. Die Beispiele für Node.js, Python und OpenSSL erzeugen neue lokale Geheimnisse, ohne einen Website-Wert zu übernehmen. Keine Website kann einen unversehrten Browser oder Rechner garantieren.

Was wir testen und was Tests nicht beweisen

Regressionstests prüfen Ausgabelängen, bekannte Kodierungsbeispiele, Zeichensatzvalidierung, Rejection Sampling, Entropierechnung, Zusätze, Duplikatbehandlung, Exporte und sichere Einstellungsserialisierung. Browsertests umfassen Erzeugung, Kopieren, Exporte, Sprachlayouts und die Trennung von Analyseskripten. Ein duplikatfreier oder gleichmäßig aussehender Stichprobensatz beweist keine kryptografische Zufälligkeit. Das Tool ist nicht unabhängig zertifiziert. Tests unseres Codes sind keine Sicherheitsprüfung Ihrer gesamten Anwendung.

Rechen- oder Ausgabefehler sicher melden

Nennen Sie Format, Längenmodus, Bit- oder Zeichenzahl, Menge, Browser und reproduzierbare Schritte. Verwenden Sie ein erfundenes Beispiel statt echter Schlüssel, Webhook-Geheimnisse oder Kundendaten. Es gilt unsere Korrekturrichtlinie. Bei bestätigten wesentlichen Fehlern sollten wir die betroffene Funktion erklären, einen Regressionstest ergänzen und angeben, ob frühere Schlüssel neu erzeugt werden müssen. Eine Änderung dieser Seite widerruft keine Schlüssel in fremden Systemen. Ersetzen oder widerrufen Sie diese dort selbst.

Auf dem eigenen Rechner erzeugen

Die Beispiele erzeugen ein neues Geheimnis mit dem gewählten Format und den gewählten Zusätzen. Sie enthalten keinen angezeigten Schlüssel und erstellen weder Konten noch Rechte oder Ablaufregeln. Öffentliche IDs und Stapel sind nicht enthalten.

import { randomBytes } from 'node:crypto';
const key = randomBytes(32).toString('base64url');