Generatore di chiavi API

Come usare il generatore di chiavi API

1. Scegli formato, entropia e quantità. Parti da 256 bit e Base64URL, salvo requisiti diversi della tua applicazione.
2. Apri le opzioni avanzate per prefissi, alfabeti o ID pubblici. Controlla la lunghezza calcolata prima di generare.
3. Genera e copia una chiave oppure controlla l’esportazione. Conserva i segreti di produzione nel tuo gestore di segreti, non in documenti pubblici.
4. Registra il segreto nell’applicazione. Configura lì accesso, scadenza e revoca, quindi cancella i risultati al termine.

Pensato per l’uso concreto dei segreti

La procedura semplice resta rapida: scegli, genera e copia. Per esigenze specifiche hai codifiche di byte, alfabeti, etichette applicative, ID pubblici distinti e gruppi fino a 1.000 chiavi. Non servono account o installazione. Le spiegazioni aiutano a scegliere consapevolmente, senza presumere che una stringa visivamente più lunga sia sempre più robusta.

Formati adatti alla tua applicazione

Base64URL evita il più e la barra di Base64 normale e omette il padding. L’esadecimale è facile da controllare e ampiamente supportato, ma richiede più caratteri per gli stessi byte. Base32 usa A–Z e 2–7, qui senza padding. Base64 normale conserva il padding standard. Verifica sempre i requisiti dell’applicazione destinataria: codificare non significa cifrare.

Alfabeti personalizzati senza indicazioni fuorvianti

Scegli lettere, cifre, un insieme definito di simboli o il tuo alfabeto ASCII stampabile. I caratteri duplicati vengono rimossi per non aumentarne la probabilità. L’esclusione dei caratteri simili elimina 0, O, 1, I, l e |. Un obiettivo in bit determina la lunghezza necessaria; un numero esatto di caratteri rispetta i limiti dei campi. Un alfabeto più piccolo richiede più caratteri per la stessa entropia teorica.

Punti di partenza, non credenziali di fornitori

Token API parte da Base64URL a 256 bit. Segreto webhook usa esadecimale a 256 bit per un tuo sistema di verifica con segreto condiviso. Segreto applicativo usa Base64URL a 512 bit; Gruppo per sviluppo prepara dieci token da 256 bit. Sono scorciatoie di configurazione, non standard universali o chiavi rilasciate da fornitori. Prefissi e suffissi identificano applicazione o ambiente. La dicitura live_ non attiva nulla e non concede permessi.

Da una chiave all’esportazione ordinata

Copia singoli segreti o l’intero gruppo. Le coppie facoltative aggiungono un ID pubblico casuale di 96 bit per individuare il record: tieni privato il segreto e non usare l’ID per autenticare. JSON conserva i valori esatti. TXT supporta righe, virgole o spazi. CSV protegge le celle e neutralizza gli inizi di formula, talvolta aggiungendo un apostrofo. .env verifica i nomi delle variabili e rifiuta virgolette incompatibili. È per Node dotenv, non per script shell. I download contengono segreti in chiaro, non backup cifrati.

Come calcoliamo bit, byte e caratteri

Per i formati di byte generiamo ceil(bit desiderati / 8) byte casuali e riportiamo byte × 8 bit nominali. Con N caratteri indipendenti e uniformi scelti tra A caratteri distinti, l’entropia teorica è N × log₂(A). Per un obiettivo servono quindi ceil(bit desiderati / log₂(A)) caratteri. Ad esempio, 256 bit con sole cifre richiedono 78 cifre, non 32. Prefissi, suffissi e ID pubblico separato non contribuiscono all’entropia del segreto. Il calcolo descrive il progetto del generatore, senza misurare o certificare la fonte casuale del browser.

Un valore casuale, rappresentazioni diverse

32 bytes × 8 = 256 bits

Le lunghezze non includono prefissi o suffissi. La codifica cambia la rappresentazione, non la casualità sottostante.

La nostra metodologia di generazione

Usiamo crypto.getRandomValues in un contesto sicuro. Non ripieghiamo su Math.random, orari, attività della tastiera o semi prevedibili. Le codifiche di byte sono senza perdita. Per gli alfabeti usiamo campionamento per rifiuto: i valori del resto non uniforme vengono scartati prima della mappatura. Questo evita il bias di un semplice modulo quando la dimensione dell’alfabeto non divide 256. Ogni gruppo è controllato per segreti e ID ripetuti. I tentativi sono limitati e un errore non rilascia risultati parziali.

Cosa rimane nel browser

Generazione e preparazione dei file avvengono localmente. ClockTools non invia i valori ai server né li inserisce in URL, analisi o archiviazione persistente. Anche arrivando da un altro strumento, la pagina apre un documento nuovo senza i nostri caricatori di analisi e registrazione delle sessioni. Le impostazioni salvate e condivise escludono campi liberi e chiavi. Il fornitore di hosting riceve comunque le normali richieste della pagina. Copiare trasferisce il valore negli appunti; scaricare crea un file in chiaro. Estensioni, appunti sincronizzati, malware e persone davanti allo schermo restano rischi. Cancellare rimuove i risultati dall’interfaccia, senza garantire la cancellazione sicura dalla memoria o delle copie esterne.

Usare una chiave in sicurezza

Una stringa casuale diventa credenziale API quando la tua applicazione la registra e verifica. Configura privilegi minimi, HTTPS, revoca, scadenza e rotazione nell’applicazione. Non inserire segreti server nel frontend o in repository. Per la produzione usa una gestione dei segreti adeguata. In ambienti sensibili, preferisci la generazione nella tua infrastruttura fidata. Gli esempi Node.js, Python e OpenSSL generano nuovi segreti locali senza copiare valori da un sito. Nessun sito garantisce che browser e dispositivo non siano compromessi.

Cosa verifichiamo e cosa non dimostrano i test

I test di regressione coprono lunghezze, vettori di codifica noti, alfabeti, campionamento per rifiuto, entropia, affissi, duplicati, esportazioni e serializzazione sicura delle impostazioni. Le verifiche nel browser includono generazione, copia, esportazioni, layout tradotti e separazione dalle analisi. Nessun duplicato o una distribuzione visivamente uniforme non dimostrano casualità crittografica. Lo strumento non è certificato indipendentemente e i test del nostro codice non sono un audit dell’intera applicazione.

Segnala problemi senza rivelare segreti

Indica formato, modalità di lunghezza, bit o caratteri, quantità, browser e passaggi riproducibili. Usa esempi inventati, mai chiavi attive, segreti webhook o dati dei clienti. Seguiamo la nostra politica delle correzioni. Un difetto importante confermato deve essere spiegato, accompagnato da un test di regressione e da indicazioni sull’eventuale rigenerazione delle vecchie chiavi. Modificare questa pagina non revoca chiavi registrate altrove: devi sostituirle o revocarle in quei sistemi.

Genera sul tuo computer

Gli esempi creano un nuovo segreto con formato e affissi selezionati. Non incorporano mai la chiave visualizzata né creano account, permessi o regole di scadenza. Non includono ID pubblici o generazione in blocco.

import { randomBytes } from 'node:crypto';
const key = randomBytes(32).toString('base64url');