Generator JWT Secret Gratis — HS256/384/512

Apa Itu Generator JWT Secret?

// The secret you generate here goes straight into your signing code.
// Node.js with jsonwebtoken — the JWT_SECRET env var holds the key.
import jwt from 'jsonwebtoken';

const secret = process.env.JWT_SECRET; // e.g. base64url value from this tool

// Sign a token with HS256 (HMAC-SHA-256).
const token = jwt.sign({ sub: 'user-42', role: 'member' }, secret, {
  algorithm: 'HS256',
  expiresIn: '15m'
});

// Verify it — pin the algorithm to a whitelist; never trust the token's alg.
const payload = jwt.verify(token, secret, { algorithms: ['HS256'] });

// ---------------------------------------------------------------
// Python with PyJWT — same secret, same algorithm pinning.
// import jwt
// token = jwt.encode({"sub": "user-42"}, key, algorithm="HS256")
// payload = jwt.decode(token, key, algorithms=["HS256"])  # whitelist!

// ---------------------------------------------------------------
// Equivalent-strength CLI generation (32 bytes for HS256):
//   openssl rand -base64 32
//   node -e "console.log(require('crypto').randomBytes(32).toString('base64url'))"
//   python -c "import secrets; print(secrets.token_urlsafe(32))"

Fitur Utama

Contoh Terpandu

Algorithm: HS256 · Format: base64url

3sJ9aFq2kP7mWcZ1xL0nVtRbYdGhU8eAoI4QpNlKj0

Algorithm: HS512 · Format: base64url

k2Lp9XqA0mNbVcZ7rT4wYsHfGjUe8RoIdPlNkBvM3xQ1aWtCyZuS6FhEgJ (86 chars)

Click "Copy for .env"

JWT_SECRET=3sJ9aFq2kP7mWcZ1xL0nVtRbYdGhU8eAoI4QpNlKj0

Show the CLI command

openssl rand -base64 32

Toggle the eye icon

•••••••••••••••••••••••••••••••••••••••••••  ↔  3sJ9aFq2kP7m…

Cara Menggunakan Generator JWT Secret

1. 1

   Pilih algoritma penandatanganan

   Pilih HS256, HS384, atau HS512. Generator langsung menerapkan panjang kunci minimum RFC 7518 §3.2 untuk varian HMAC tersebut — 32, 48, atau 64 byte — sehingga Anda tidak perlu mencari angkanya atau berisiko menggunakan kunci yang terlalu kecil.

2. 2

   Pilih format keluaran

   base64url adalah default — encoding native JWT yang aman-URL dan tanpa padding. Beralih ke base64 standar jika loader mengharapkannya, atau hex ketika sistem hanya menerima karakter 0–f. Ketiganya meng-encode byte acak yang sama dengan entropi identik.

3. 3

   Tampilkan dan salin secret

   Secret disamarkan secara default agar tidak terlihat di layar selama demo atau berbagi layar. Klik ikon mata untuk menampilkannya, lalu Copy untuk mengambil nilai mentah atau Copy for .env untuk menyalin baris JWT_SECRET=… yang siap untuk file .env atau variabel CI.

4. 4

   Regenerasi sesuai kebutuhan

   Klik Regenerate untuk secret baru yang independen yang ditarik dari crypto.getRandomValues. Hasilkan satu per lingkungan — jangan pernah gunakan kembali kunci penandatanganan yang sama di development, staging, dan production.

5. 5

   Gunakan padanan CLI atau lanjut ke penandatanganan

   Panel CLI menampilkan one-liner openssl, Node, dan Python yang cocok untuk penyediaan terskrip. Dengan secret di tangan, tandatangani token dengan JWT Encoder dan konfirmasi tanda tangannya dengan JWT Decoder.

Kesalahan JWT Secret yang Umum

JWT_SECRET=mySuperSecret123  →  low entropy, brute-forceable

JWT_SECRET=3sJ9aFq2kP7mWcZ1xL0nVtRbYdGhU8eAoI4QpNlKj0  →  32 random bytes

16-byte key with HS256  →  below the 32-byte minimum

32-byte key with HS256  →  meets RFC 7518 §3.2

Math.random()-based key  →  predictable, unsafe

crypto.getRandomValues key  →  full entropy

Service A: raw string · Service B: base64-decoded  →  signatures never match

Both services use the identical stored string  →  signatures verify

Same JWT_SECRET in dev, staging, prod  →  one leak breaks all

A unique secret per environment  →  blast radius contained

jwt.verify(token, secret)  →  accepts the token's alg

jwt.verify(token, secret, { algorithms: ['HS256'] })  →  pinned

Siapa yang Menggunakan Alat Ini

Menyediakan JWT_SECRET untuk Layanan Baru

Sedang membangun API yang menerbitkan token bertanda-tangan HMAC? Pilih algoritma yang digunakan pustaka Anda, salin secret sebagai baris JWT_SECRET=…, dan masukkan ke lingkungan layanan. Hasilkan kunci yang berbeda untuk development, staging, dan production — jangan pernah berbagi satu secret lintas lingkungan.

Merotasi Secret yang Terkompromi atau Menua

Ketika kunci diduga bocor atau memang sudah waktunya dirotasi, hasilkan secret baru di sini, tetapkan kid baru, dan luncurkan dengan jendela tumpang tindih agar token aktif tetap terverifikasi hingga kedaluwarsa. Pada kompromi yang terkonfirmasi, rotasi segera dan hapus kunci lama dari set yang diterima.

Mengganti Kunci yang Lemah atau Diketik Manual

Mewarisi basis kode yang JWT_SECRET-nya berupa frasa pendek atau nilai contoh yang disalin? Kunci itu dapat di-brute-force secara offline. Hasilkan pengganti 32 byte berentropi penuh, tukar di balik jendela rotasi, dan tutup celah pemalsuan token sebelum dieksploitasi.

Menskrip Pembangkitan Kunci dalam Pipeline

Perlu kunci dibuat di CI atau Dockerfile alih-alih secara manual? Gunakan one-liner openssl, Node, atau Python dari panel CLI untuk mencetak secret berkekuatan setara di dalam skrip penyediaan Anda, dan gunakan halaman ini untuk memahami panjang byte dan encoding yang dihasilkan tiap perintah.

Mengajarkan Penandatanganan JWT dengan Aman

Pandu tim melalui cara kerja HS256 tanpa pernah mengekspos kunci production nyata — hasilkan secret sekali pakai di layar (tersamar hingga Anda menampilkannya), tandatangani token contoh dengan JWT Encoder, dan verifikasi dengan JWT Decoder agar seluruh siklus tanda-tangan-dan-verifikasi terlihat.

Membandingkan Ukuran Kunci HS256, HS384, dan HS512

Sedang memutuskan varian HMAC mana yang akan distandarkan? Beralih antar algoritma untuk melihat bagaimana panjang kunci yang dibutuhkan dan string yang di-encode bertambah — 43, 64, dan 86 karakter base64url — dan pilih kompromi kekuatan-versus-ukuran-token yang cocok untuk sistem Anda sebelum Anda menetapkannya ke konfigurasi.

Menghasilkan Kunci untuk Pengembangan Lokal

Perlu secret cepat dan valid untuk menjalankan alur autentikasi lokal? Hasilkan satu dalam sekali klik, salin untuk .env, dan Anda siap — dengan kunci CSPRNG nyata alih-alih placeholder yang akan Anda lupa ganti sebelum deploy.

Cara Kerja Generator

crypto.getRandomValues (CSPRNG)

Secret dihasilkan dengan mengisi Uint8Array dengan crypto.getRandomValues, generator angka pseudo-acak yang aman secara kriptografis dari Web Crypto. Itu adalah sumber entropi yang sama yang menopang pembangkitan kunci Web Crypto. Math.random tidak pernah digunakan di mana pun — ia dapat diprediksi secara statistik dan tidak cocok untuk kunci kriptografis apa pun.

Penyesuaian Ukuran Kunci RFC 7518 §3.2

Jumlah byte per algoritma mengikuti persyaratan JSON Web Algorithms bahwa kunci HMAC harus setidaknya sebesar keluaran hash: 32 byte untuk HS256 (SHA-256), 48 untuk HS384 (SHA-384), 64 untuk HS512 (SHA-512). Memilih algoritma menetapkan minimum; generator tidak akan memancarkan kunci di bawah batas bawah spesifikasi.

Encoding RFC 4648 (base64url / base64 / hex)

Byte mentah di-encode dengan alfabet RFC 4648. base64url menggunakan alfabet aman-URL tanpa padding (32 byte → 43 char), base64 standar menggunakan padding +, /, dan = (→ 44 char), dan hex menulis dua karakter per byte (→ 64 char). Mengganti format meng-encode ulang byte yang sama — entropi yang mendasarinya tidak berubah.

Mengapa base64url Menjadi Default

Komponen JWT sendiri di-encode base64url, dan alfabet aman-URL tanpa padding berarti secret dalam base64url tidak pernah perlu di-escape dalam header, URL, atau file konfigurasi. Karakter +, /, dan = di akhir base64 standar dapat rusak dalam konteks itu, sehingga base64url adalah default konservatif untuk JWT_SECRET.

Pemformatan Copy-for-.env

Copy for .env memancarkan JWT_SECRET= dalam satu baris tanpa tanda kutip di sekelilingnya — bentuk yang diuraikan loader bergaya dotenv tanpa modifikasi. Secret mentah tidak pernah menyertakan karakter yang memerlukan tanda kutip dalam file .env, sehingga barisnya aman ditempel apa adanya.

Perintah CLI Berkekuatan Setara, Bukan Identik Byte

Perintah openssl rand -base64 N, Node randomBytes(N).toString('base64url'), dan Python secrets.token_urlsafe(N) dari panel CLI semuanya menarik N byte acak aman untuk algoritma terpilih. Keduanya menghasilkan kunci berkekuatan setara, bukan string yang sama — openssl memancarkan base64 standar dengan padding, sehingga alfabet dan karakter akhirnya berbeda dari default base64url alat ini.

Praktik Terbaik JWT Secret

Sesuaikan Panjang Kunci dengan Algoritma

Gunakan minimal 32 byte untuk HS256, 48 untuk HS384, dan 64 untuk HS512, sebagaimana diharuskan RFC 7518 §3.2. Generator ini melakukannya untuk Anda, tetapi jika Anda mengukur kunci secara manual, jangan pernah di bawah panjang keluaran hash — kunci HMAC yang terlalu kecil melemahkan tanda tangan sekaligus dapat ditolak pustaka yang ketat.

Selalu Hasilkan dengan CSPRNG, Jangan Pernah Kata Sandi

JWT secret adalah kredensial mesin yang tidak perlu dihafal siapa pun, jadi belanjakan entropi penuh: gunakan kunci acak yang aman secara kriptografis, bukan passphrase, kata kamus, atau string yang diketik manual. Secret pilihan manusia adalah target termudah bagi serangan brute-force offline yang diotomatiskan alat pemecah JWT.

Gunakan Secret Unik per Lingkungan

Development, staging, dan production masing-masing harus memiliki JWT_SECRET sendiri. Berbagi satu kunci berarti kebocoran di lingkungan berisiko rendah memalsukan token di mana-mana, dan membuat rotasi menjadi semua-atau-tidak-sama-sekali. Hasilkan secret terpisah di sini untuk setiap lingkungan dan simpan masing-masing di scope secrets manager sendiri.

Kunci Algoritma Saat Anda Memverifikasi

Di sisi yang memverifikasi, selalu berikan daftar putih algoritma eksplisit — algorithms: ['HS256'] di jsonwebtoken, algorithms=["HS256"] di PyJWT — dan jangan pernah percayai field alg di dalam token. Menerima algoritma yang dideklarasikan token itu sendiri memungkinkan serangan klasik kebingungan-alg dan pemalsuan alg:none, terlepas dari sekuat apa secret Anda.

Rotasi dengan Header kid dan Kunci Tumpang Tindih

Tandai token yang ditandatangani dengan identifier kunci (kid) dan publikasikan kunci aktif melalui endpoint JWKS sehingga Anda dapat merotasi tanpa downtime: tandatangani token baru dengan kunci baru sambil tetap menerima yang lama hingga tokennya kedaluwarsa. Pada dugaan kompromi, lewati tumpang tindih dan cabut kunci lama segera.

Pertanyaan yang Sering Diajukan