Base64-Schlüsselgenerator

So erzeugen Sie einen Schlüssel

1. Klicken Sie auf die Vorlage, die zu Ihrer Konfiguration passt. Beim Öffnen der Seite ist 32 Bytes ausgewählt.
2. Kopieren Sie den Wert aus Zufallswerte. Vorlagen mit einer Konfigurationszeile, etwa Laravel oder Auth.js, zeigen sie zusätzlich unter Zum Einfügen.
3. Drücken Sie Neu erzeugen für einen weiteren Schlüssel oder erhöhen Sie Anzahl, um mehrere auf einmal zu erzeugen, zum Beispiel einen pro Umgebung.

Vorlagen setzen Byte-Anzahl und Format für Sie. Ändern Sie eines der Felder, schaltet das Tool auf Eigene zurück und behält Ihre Werte.

Vorlagen und wohin der Schlüssel gehört

Die Vorlage für die CSP-Nonce gehört zu einer anderen Aufgabe und hat eine eigene Seite, den CSP-Nonce-Generator.

Die Größen folgen den Algorithmen. AES-Schlüssel sind genau 16, 24 oder 32 Bytes lang; alles andere wird abgelehnt. RFC 7518 verlangt für HS256 Secrets von mindestens 256 Bit, deshalb nutzt die JWT-Vorlage 32 Bytes. Ein HMAC-Schlüssel, der kürzer als die Hash-Ausgabe ist, schwächt HMAC, daher passen 32 Bytes zu HMAC-SHA256 und die 64-Byte-Vorlage zu HMAC-SHA512. Die Django-Vorlage zieht ihre 50 Zeichen per Rejection Sampling, sodass jedes Zeichen des Alphabets gleich wahrscheinlich ist, genau wie bei Djangos eigenem get_random_secret_key().

Ein Base64-Schlüssel ist Text, der Schlüssel sind Bytes

Der Wert, den Sie kopieren, ist eine Base64-Darstellung zufälliger Bytes. Code, der ihn verwendet, muss ihn zuerst dekodieren:

import base64, os

key = base64.b64decode(os.environ["AES_KEY"])
assert len(key) == 32

In Node.js lautet das Buffer.from(process.env.AES_KEY, "base64"). Übergeben Sie die 44 Zeichen lange Zeichenkette direkt an eine AES-Bibliothek, lehnt sie sie entweder ab (AESGCM key must be 128, 192, or 256 bits in Python, Invalid key length in Node.js) oder verwendet, bei nachsichtigeren Bibliotheken, kommentarlos die falschen Bytes. Frameworks, die ihre Schlüssel selbst einlesen, etwa Laravel mit dem Präfix base64:, übernehmen das Dekodieren für Sie.

Base64URL und Standard-Base64 ergeben dieselben Bytes, Parser sind aber oft streng darin, welche Variante sie akzeptieren. Behalten Sie das Format der Vorlage bei, es sei denn, Sie wissen, dass die Gegenseite auch das andere annimmt.

Fernet-Schlüssel und andere Formate

Das Python-Paket cryptography erwartet einen Fernet-Schlüssel als 32 Bytes in URL-sicherem Base64 mit Padding, also 44 Zeichen. Die Vorlagen für JWT und API-Token liefern die URL-sichere Form ohne =; hängen Sie also eines an oder erzeugen Sie den Schlüssel in Python:

from cryptography.fernet import Fernet

print(Fernet.generate_key().decode())

Für alles andere gehen Sie von der Byte-Anzahl aus: Wählen Sie Eigene, tragen Sie die Bytes ein, die Ihre Bibliothek dokumentiert, und wählen Sie Base64, Base64URL oder Hex. Der Zufalls-Base64-Generator erklärt die Ausgabelängen, und mit HMAC in Base64 oder AES-Verschlüsselung können Sie einen frischen Schlüssel gleich ausprobieren.

Umgang mit Schlüsseln nach dem Erzeugen

Ein hier erzeugter Schlüssel existiert nur in diesem Tab, bis Sie ihn kopieren. Danach ist er so sicher wie der Ort, an dem Sie ihn einfügen. Bewahren Sie Produktionsschlüssel im Secret Store Ihrer Plattform oder in einem Secrets-Manager auf, verwenden Sie pro Umgebung einen eigenen Schlüssel und committen Sie sie nie; ein Schlüssel, der in ein Git-Repository gelangt ist, gilt als öffentlich und muss ersetzt werden. Einen Verschlüsselungsschlüssel zu rotieren heißt, alte Daten neu zu verschlüsseln oder den alten Schlüssel zum Entschlüsseln aufzubewahren. Planen Sie das ein, bevor Sie auf einem Live-System den APP_KEY austauschen.

Häufige Fragen