crypto.getRandomValues
Token-Generator
Über dieses Tool
Der Token-Generator erzeugt kryptografisch sichere Zufallswerte für API-Keys, Secrets, Session-IDs und abtippbare Codes. Du wählst Format, Länge und Anzahl und kopierst das Ergebnis sofort. Der Zufall stammt aus crypto.getRandomValues, die Erzeugung läuft vollständig in deinem Browser. Vorlagen helfen, wenn du nur schnell einen passenden Schlüssel brauchst.
Wofür du es nutzen kannst
- API-Key mit 256 Bit als Hex-String für einen eigenen Dienst erzeugen
- Secret für JWT-Signaturen oder HMAC als Base64 generieren
- Session-ID im URL-sicheren Format Base64-URL erstellen
- Webhook-Secret oder Reset-Token für eine Anwendung erzeugen
- Einen Schlüssel für Konfigurationsdateien oder Umgebungsvariablen (.env) anlegen
- Lesbare Codes wie 4-4-4 für Einladungen oder Gutscheine erstellen, ohne verwechselbare Zeichen
- Key mit Präfix wie sk_live_ erzeugen, damit Secret-Scanner ihn erkennen
- Mehrere Tokens auf einmal (bis 100) für Testdaten oder Seed-Skripte erzeugen
- Token aus einem eigenen Zeichensatz bilden, etwa nur Großbuchstaben und Ziffern
Häufige Fragen
Wie sicher sind die erzeugten Tokens?
Der Zufall kommt ausschließlich von crypto.getRandomValues, dem kryptografischen Zufallsgenerator des Betriebssystems im Browser. Math.random wird nicht verwendet. Bei Zeichenvorräten wird ohne Modulo-Verzerrung gezogen, jedes Zeichen ist also gleich wahrscheinlich.
Werden meine Tokens gespeichert oder gesendet?
Nein. Alles wird in deinem Browser erzeugt, es wird nichts an einen Server übertragen. Dennoch gilt: Ein Token, das du irgendwo einsetzt, solltest du wie ein Geheimnis behandeln.
Wie lang sollte ein API-Key oder Secret sein?
Als Faustregel: mindestens 64 Bit für kurzlebige Sitzungen, 128 Bit für API-Keys und Secrets, 256 Bit für Schlüsselmaterial wie AES-256 oder HMAC. 128 Bit entsprechen 32 Hex-Zeichen oder 16 Bytes.
Was ist der Unterschied zwischen Hex, Base64 und Base64-URL?
Hex nutzt 0–9 und a–f und ist universell lesbar. Base64 ist kompakter, enthält aber + / und Padding mit =. Base64-URL ersetzt diese Zeichen durch - und _ und verzichtet auf Padding, passt also in URLs und Header.
Zählt die Länge Zeichen oder Bytes?
Bei Hex, Alphanumerisch und eigenem Zeichensatz zählt die Länge Zeichen. Bei Base64, Base64-URL und Base32 sind es Zufallsbytes vor der Kodierung. Die Zeile unter dem Feld zeigt die resultierende Zeichenzahl und die Bits.
Wofür sind Präfix und Gruppierung gut?
Ein Präfix wie sk_live_ macht Schlüssel für Scanner erkennbar, die versehentlich veröffentlichte Secrets suchen. Gruppen mit Trennzeichen, etwa 4-4-4, machen Codes leichter abtippbar. Das Präfix und die Trenner tragen nicht zum Zufall bei.
Ist das ein Passwort-Generator?
Nicht in erster Linie. Das Tool ist für technische Tokens und Schlüssel gedacht. Für Passwörter, die du dir merken oder eintippen musst, eignet sich ein Passwort-Generator besser.
Wie bewahre ich Tokens richtig auf?
Lege sie nicht in URLs, Logs oder Tickets ab und checke sie nie in ein Repository ein. Server speichern besser nur einen Hash des Tokens, etwa SHA-256. Bei Verdacht auf Verlust tauschst du den Token sofort aus.
Hintergrund: so funktionieren Zufallstoken
Ein Token ist ein zufälliger, nicht erratbarer Wert, der als API-Key, Session-ID, Reset-Link, Webhook-Secret oder Signaturschlüssel dient. Seine Sicherheit hängt allein davon ab, wie viel Zufall er enthält. Diese Menge nennt man Entropie und misst sie in Bit. Ein Token mit 128 Bit hat 2^128 mögliche Werte, ein Durchprobieren ist praktisch ausgeschlossen, sofern die Werte wirklich zufällig entstanden sind.
Deshalb zählt die Quelle des Zufalls. Der Token-Generator nutzt crypto.getRandomValues, die Schnittstelle des Browsers zum kryptografisch sicheren Zufallsgenerator des Betriebssystems. Math.random ist dafür ungeeignet, weil seine Werte vorhersagbar sein können. Beim Ziehen aus einem Zeichenvorrat entsteht leicht eine Verzerrung, wenn man Zufallszahlen per Modulo auf die Zeichenzahl abbildet. Das Tool verwirft deshalb Zufallswerte, die einzelne Zeichen bevorzugen würden, und zieht neu.
Das Format bestimmt nur die Darstellung. Hex (0–9, a–f) liefert 4 Bit je Zeichen und ist leicht zu prüfen. Base64 packt 6 Bit in ein Zeichen, enthält aber + und / sowie Padding mit =. Base64-URL tauscht diese Zeichen gegen - und _ und lässt das Padding weg, damit der Wert in URLs und HTTP-Headern unverändert bleibt. Base32 nach RFC 4648 nutzt A–Z und 2–7, ist unabhängig von Groß- und Kleinschreibung und lässt sich gut diktieren. Alphanumerische Tokens vermeiden Sonderzeichen, die in manchen Systemen Probleme machen. Bei einem eigenen Zeichensatz zählt jedes Zeichen nur einmal.
Als Faustregel gelten mindestens 64 Bit für kurzlebige Sitzungen, 128 Bit für API-Keys und Secrets und 256 Bit für Schlüsselmaterial wie AES-256 oder HMAC. Mehr schadet nicht, bringt über 256 Bit hinaus aber praktisch nichts. Lässt man verwechselbare Zeichen wie 0, O, 1, l, I oder | weg, schrumpft der Zeichenvorrat und damit der Zufall pro Stelle; die Länge muss dann etwas größer ausfallen.
Für den Umgang gilt: Tokens gehören nicht in URLs, Logdateien oder Tickets und nie in ein Repository. Server sollten möglichst nur einen Hash speichern. Ein Präfix wie sk_live_ hilft automatischen Scannern, versehentlich veröffentlichte Schlüssel zu finden. Bei Verdacht auf Offenlegung wird der Token sofort ersetzt.
