Ücretsiz JWT Gizli Anahtar Oluşturucu — HS256/384/512

JWT Gizli Anahtar Oluşturucu Nedir?

// The secret you generate here goes straight into your signing code.
// Node.js with jsonwebtoken — the JWT_SECRET env var holds the key.
import jwt from 'jsonwebtoken';

const secret = process.env.JWT_SECRET; // e.g. base64url value from this tool

// Sign a token with HS256 (HMAC-SHA-256).
const token = jwt.sign({ sub: 'user-42', role: 'member' }, secret, {
  algorithm: 'HS256',
  expiresIn: '15m'
});

// Verify it — pin the algorithm to a whitelist; never trust the token's alg.
const payload = jwt.verify(token, secret, { algorithms: ['HS256'] });

// ---------------------------------------------------------------
// Python with PyJWT — same secret, same algorithm pinning.
// import jwt
// token = jwt.encode({"sub": "user-42"}, key, algorithm="HS256")
// payload = jwt.decode(token, key, algorithms=["HS256"])  # whitelist!

// ---------------------------------------------------------------
// Equivalent-strength CLI generation (32 bytes for HS256):
//   openssl rand -base64 32
//   node -e "console.log(require('crypto').randomBytes(32).toString('base64url'))"
//   python -c "import secrets; print(secrets.token_urlsafe(32))"

Temel Özellikler

İşlenmiş Örnekler

Algoritma: HS256 · Biçim: base64url

3sJ9aFq2kP7mWcZ1xL0nVtRbYdGhU8eAoI4QpNlKj0

Algoritma: HS512 · Biçim: base64url

k2Lp9XqA0mNbVcZ7rT4wYsHfGjUe8RoIdPlNkBvM3xQ1aWtCyZuS6FhEgJ (86 karakter)

".env için kopyala"ya tıklayın

JWT_SECRET=3sJ9aFq2kP7mWcZ1xL0nVtRbYdGhU8eAoI4QpNlKj0

CLI komutunu göster

openssl rand -base64 32

Göz simgesini değiştirin

•••••••••••••••••••••••••••••••••••••••••••  ↔  3sJ9aFq2kP7m…

JWT Gizli Anahtar Oluşturucu Nasıl Kullanılır

1. 1

   İmzalama algoritmasını seçin

   HS256, HS384 veya HS512'yi seçin. Oluşturucu, o HMAC varyantı için RFC 7518 §3.2 minimum anahtar uzunluğunu — 32, 48 veya 64 bayt — anında uygular; böylece sayıyı asla araştırmak veya boyutu yetersiz bir anahtar riskine girmek zorunda kalmazsınız.

2. 2

   Çıktı biçimini seçin

   base64url varsayılandır — JWT'nin yerel URL açısından güvenli, dolgusuz kodlaması. Bir yükleyici bunu bekliyorsa standart base64'e, bir sistem yalnızca 0–f karakterlerini kabul ediyorsa hex'e geçin. Üçü de aynı rastgele baytları özdeş entropiyle kodlar.

3. 3

   Gizli anahtarı açın ve kopyalayın

   Gizli anahtar, bir demo veya ekran paylaşımı sırasında ekran dışında kalsın diye varsayılan olarak maskelidir. Açmak için göz simgesine tıklayın, ardından ham değeri almak için Kopyala'ya veya bir .env dosyası ya da CI değişkeni için hazır bir JWT_SECRET=… satırı kopyalamak için .env için kopyala'ya tıklayın.

4. 4

   Gerektikçe yeniden oluşturun

   crypto.getRandomValues'tan çekilen yeni, bağımsız bir gizli anahtar için Yeniden Oluştur'a tıklayın. Her ortam için bir tane üretin — geliştirme, hazırlık ve üretim arasında aynı imzalama anahtarını asla yeniden kullanmayın.

5. 5

   CLI eşdeğerini kullanın veya imzalamaya geçin

   CLI paneli, betikle sağlama için eşleşen openssl, Node ve Python tek satırlıklarını gösterir. Gizli anahtarınız elinizdeyken, JWT Oluşturucu ile bir token imzalayın ve JWT Çözücü ile imzayı teyit edin.

Yaygın JWT Gizli Anahtarı Hataları

JWT_SECRET=mySuperSecret123  →  low entropy, brute-forceable

JWT_SECRET=3sJ9aFq2kP7mWcZ1xL0nVtRbYdGhU8eAoI4QpNlKj0  →  32 random bytes

16-byte key with HS256  →  below the 32-byte minimum

32-byte key with HS256  →  meets RFC 7518 §3.2

Math.random()-based key  →  predictable, unsafe

crypto.getRandomValues key  →  full entropy

Service A: raw string · Service B: base64-decoded  →  signatures never match

Both services use the identical stored string  →  signatures verify

Same JWT_SECRET in dev, staging, prod  →  one leak breaks all

A unique secret per environment  →  blast radius contained

jwt.verify(token, secret)  →  accepts the token's alg

jwt.verify(token, secret, { algorithms: ['HS256'] })  →  pinned

Bu Aracı Kimler Kullanır

Yeni Bir Servis İçin JWT_SECRET Sağlama

HMAC ile imzalanmış token'lar veren bir API mi başlatıyorsunuz? Kütüphanenizin kullandığı algoritmayı seçin, gizli anahtarı bir JWT_SECRET=… satırı olarak kopyalayın ve servisin ortamına bırakın. Geliştirme, hazırlık ve üretim için ayrı bir anahtar üretin — bir gizli anahtarı asla ortamlar arasında paylaşmayın.

Tehlikeye Düşmüş veya Eskimiş Bir Gizli Anahtarı Rotasyona Sokma

Bir anahtarın sızdığından şüphelenildiğinde veya yalnızca rotasyon zamanı geldiğinde, buradan yeni bir gizli anahtar üretin, ona yeni bir kid atayın ve canlı token'lar süresi dolana kadar doğrulanmaya devam edecek şekilde bir örtüşme penceresiyle yayına alın. Teyit edilmiş bir saldırıda, anında rotasyona sokun ve eski anahtarı kabul edilen kümeden çıkarın.

Zayıf veya Elle Yazılmış Bir Anahtarı Değiştirme

JWT_SECRET'i kısa bir ifade ya da kopyalanmış bir örnek değer olan bir kod tabanını mı devraldınız? O anahtar çevrimdışı kaba kuvvetle çözülebilir. Tam entropili 32 baytlık bir değiştirme üretin, bir rotasyon penceresi ardında değiştirin ve token taklidi açığını istismar edilmeden önce kapatın.

Bir Pipeline'da Anahtar Üretimini Betikleme

Anahtarın elle değil de CI'da veya bir Dockerfile'da oluşturulması mı gerekiyor? Sağlama betiğinizin içinde eşit güçte bir gizli anahtar basmak için CLI panelinin openssl, Node veya Python tek satırlığını kullanın ve her komutun ürettiği bayt uzunluklarını ve kodlamaları anlamak için bu sayfayı kullanın.

JWT İmzalamayı Güvenle Öğretme

Bir ekibe HS256'nın nasıl çalıştığını gerçek bir üretim anahtarını hiç açığa çıkarmadan anlatın — ekranda tek kullanımlık bir gizli anahtar üretin (siz açana kadar maskeli), JWT Oluşturucu ile örnek bir token imzalayın ve JWT Çözücü ile doğrulayın; böylece tüm imzala-ve-doğrula döngüsü görünür olsun.

HS256, HS384 ve HS512 Anahtar Boyutlarını Karşılaştırma

Hangi HMAC varyantında standartlaşacağınıza mı karar veriyorsunuz? Gereken anahtar uzunluğunun ve kodlanmış dizenin nasıl büyüdüğünü görmek için algoritmalar arasında geçiş yapın — 43, 64 ve 86 base64url karakter — ve yapılandırmaya işlemeden önce sisteminize uyan güç-token boyutu dengesini seçin.

Yerel Geliştirme İçin Anahtar Üretme

Bir yerel kimlik doğrulama akışını çalıştırmak için hızlı, geçerli bir gizli anahtar mı gerekiyor? Tek tıklamayla bir tane üretin, .env için kopyalayın ve önünüz açılsın — dağıtımdan önce değiştirmeyi unutacağınız bir yer tutucu yerine gerçek bir CSPRNG anahtarıyla.

Oluşturucu Nasıl Çalışır

crypto.getRandomValues (CSPRNG)

Gizli anahtarlar, Web Crypto'nun kriptografik olarak güvenli sözde rastgele sayı üreticisi olan crypto.getRandomValues ile bir Uint8Array doldurularak üretilir. Web Crypto anahtar üretiminin de dayandığı aynı entropi kaynağıdır. Math.random hiçbir yerde kullanılmaz — istatistiksel olarak öngörülebilirdir ve herhangi bir kriptografik anahtar için uygunsuzdur.

RFC 7518 §3.2 Anahtar Boyutlandırma

Algoritma başına bayt sayısı, bir HMAC anahtarının en az hash çıktısı boyutunda olması gerektiği yönündeki JSON Web Algorithms gereksinimini izler: HS256 (SHA-256) için 32 bayt, HS384 (SHA-384) için 48, HS512 (SHA-512) için 64. Algoritmayı seçmek minimumu belirler; oluşturucu, spesifikasyon zemininin altında bir anahtar üretmez.

RFC 4648 Kodlamaları (base64url / base64 / hex)

Ham baytlar RFC 4648 alfabeleriyle kodlanır. base64url, dolgusuz URL açısından güvenli alfabeyi kullanır (32 bayt → 43 karakter), standart base64; +, / ve = dolgusu kullanır (→ 44 karakter) ve hex, bayt başına iki karakter yazar (→ 64 karakter). Biçim değiştirmek aynı baytları yeniden kodlar — altta yatan entropi değişmez.

base64url Neden Varsayılan

JWT bileşenlerinin kendisi base64url ile kodlanmıştır ve URL açısından güvenli, dolgusuz alfabe, base64url'deki bir gizli anahtarın bir başlıkta, bir URL'de veya bir yapılandırma dosyasında asla kaçışlamaya gerek duymaması anlamına gelir. Standart base64'ün + ve / ve sondaki = işaretleri bu bağlamlarda sorun çıkarabilir; bu yüzden base64url, bir JWT_SECRET için temkinli varsayılandır.

.env için Kopyala Biçimlendirmesi

.env için kopyala, JWT_SECRET= ifadesini tek satırda, etrafında tırnak olmadan üretir — dotenv tarzı yükleyicilerin değişiklik olmadan ayrıştırdığı biçim. Ham gizli anahtar, bir .env dosyasında tırnak gerektirecek karakterler asla içermez; bu yüzden satır olduğu gibi yapıştırmak için güvenlidir.

Eşdeğer Güçte CLI Komutları, Bayt Bayt Aynı Değil

CLI panelinin openssl rand -base64 N, Node randomBytes(N).toString('base64url') ve Python secrets.token_urlsafe(N) komutları, seçilen algoritma için N güvenli rastgele bayt çeker. Eşit güçte anahtarlar üretirler, aynı dizeyi değil — openssl dolgulu standart base64 verir; bu yüzden alfabe ve sondaki karakterler bu aracın base64url varsayılanından farklıdır.

JWT Gizli Anahtarı En İyi Uygulamaları

Anahtar Uzunluğunu Algoritmayla Eşleştirin

RFC 7518 §3.2'nin gerektirdiği gibi HS256 için en az 32 bayt, HS384 için 48 ve HS512 için 64 bayt kullanın. Bu oluşturucu bunu sizin için yapar, ama bir anahtarı elle boyutlandırırsanız, asla hash çıktısı uzunluğunun altına inmeyin — boyutu yetersiz bir HMAC anahtarı hem imzayı zayıflatır hem de katı kütüphaneler tarafından reddedilebilir.

Daima Bir CSPRNG ile Üretin, Asla Bir Şifreyle Değil

Bir JWT gizli anahtarı, kimsenin ezberlemesine gerek olmayan bir makine kimlik bilgisidir; bu yüzden tam entropiyi harcayın: bir parola dizesi, bir sözlük sözcüğü veya elle yazılmış bir dize değil, kriptografik olarak güvenli rastgele bir anahtar kullanın. İnsan tarafından seçilen gizli anahtarlar, JWT kırma araçlarının otomatikleştirdiği çevrimdışı kaba kuvvet saldırıları için en kolay hedeftir.

Her Ortam İçin Benzersiz Bir Gizli Anahtar Kullanın

Geliştirme, hazırlık ve üretimin her biri kendi JWT_SECRET'ine sahip olmalıdır. Tek bir anahtarı paylaşmak, düşük riskli bir ortamdaki bir sızıntının her yerde token taklit etmesi ve rotasyonun ya hep ya hiç olması demektir. Her ortam için buradan ayrı bir gizli anahtar üretin ve her birini kendi secret yöneticisi kapsamında saklayın.

Doğrularken Algoritmayı Sabitleyin

Doğrulayan tarafta daima açık bir algoritma beyaz listesi geçirin — jsonwebtoken'da algorithms: ['HS256'], PyJWT'de algorithms=["HS256"] — ve token içindeki alg alanına asla güvenmeyin. Token'ın kendi beyan ettiği algoritmayı kabul etmek, gizli anahtarınız ne kadar güçlü olursa olsun klasik alg-confusion ve alg:none taklit saldırılarına olanak tanır.

Bir kid Başlığı ve Örtüşen Anahtarlarla Rotasyona Sokun

İmzalı token'ları bir anahtar tanımlayıcı (kid) ile etiketleyin ve etkin anahtarları bir JWKS uç noktası aracılığıyla yayımlayın; böylece kesinti olmadan rotasyona sokabilirsiniz: eski anahtarı token'larının süresi dolana kadar kabul etmeye devam ederken yeni token'ları yeni anahtarla imzalayın. Bir saldırı şüphesinde örtüşmeyi atlayın ve eski anahtarı anında iptal edin.

Sık Sorulan Sorular