Generador de claves Base64

Cómo generar una clave

1. Haz clic en el ajuste que corresponde a lo que estás configurando. 32 bytes está seleccionado al abrir la página.
2. Copia el valor de Valores aleatorios. Los ajustes con línea de configuración, como Laravel o Auth.js, la muestran también en Listo para pegar.
3. Pulsa Generar nuevos para obtener otra clave, o sube Cantidad para crear varias a la vez, por ejemplo una por entorno.

Los ajustes fijan por ti el número de bytes y el formato. Si cambias cualquiera de los dos campos, la herramienta vuelve a Personalizado y conserva tus valores.

Ajustes y dónde va cada clave

El ajuste de nonce CSP sirve para otra cosa y tiene su propia página, el generador de nonce CSP.

Los tamaños vienen de los algoritmos. Las claves AES tienen exactamente 16, 24 o 32 bytes; cualquier otra longitud se rechaza. RFC 7518 exige secretos HS256 de al menos 256 bits, por eso el ajuste JWT usa 32 bytes. Una clave HMAC más corta que la salida del hash debilita HMAC, así que 32 bytes encajan con HMAC-SHA256 y el ajuste de 64 bytes con HMAC-SHA512. El ajuste de Django elige sus 50 caracteres por muestreo de rechazo, de modo que todos los caracteres del alfabeto son igual de probables, igual que hace la propia get_random_secret_key() de Django.

Una clave Base64 es texto; la clave son bytes

El valor que copias es una representación Base64 de bytes aleatorios. El código que lo usa tiene que decodificarlo primero:

import base64, os

key = base64.b64decode(os.environ["AES_KEY"])
assert len(key) == 32

En Node.js lo mismo es Buffer.from(process.env.AES_KEY, "base64"). Si le pasas la cadena de 44 caracteres directamente a una biblioteca AES, o la rechaza (AESGCM key must be 128, 192, or 256 bits en Python, Invalid key length en Node.js) o, en bibliotecas más permisivas, usa bytes equivocados sin avisar. Los frameworks que leen sus propias claves, como Laravel con su prefijo base64:, hacen esta decodificación por ti.

Base64URL y Base64 estándar se decodifican en los mismos bytes, pero los parsers suelen ser estrictos con cuál aceptan. Mantén el formato que generó el ajuste, salvo que sepas que el consumidor acepta el otro.

Claves Fernet y otros formatos

El paquete cryptography de Python espera una clave Fernet de 32 bytes en Base64 URL-safe con relleno, 44 caracteres. Los ajustes JWT y Token de API dan la forma URL-safe sin el =, así que añade uno al final o genérala en Python:

from cryptography.fernet import Fernet

print(Fernet.generate_key().decode())

Para cualquier otro caso, parte del número de bytes: elige Personalizado, introduce los bytes que indica la documentación de tu biblioteca y elige Base64, Base64URL o hex. El generador de Base64 aleatorio explica las longitudes de salida, y HMAC en Base64 o cifrado AES te permiten probar una clave nueva al momento.

Qué hacer con las claves después de generarlas

Una clave generada aquí solo existe en esta pestaña hasta que la copias. A partir de ahí, está tan segura como el sitio donde la pegues. Guarda las claves de producción en el almacén de secretos de tu plataforma o en un gestor de secretos, usa una clave distinta por entorno y no las subas nunca al repositorio; una clave que llegó a un repositorio Git debe considerarse pública y sustituirse. Rotar una clave de cifrado implica volver a cifrar los datos antiguos o conservar la clave anterior para descifrar, así que planifícalo antes de cambiar un APP_KEY en un sistema en producción.

Preguntas frecuentes