API-Token-Generator: sichere Schlüssel erstellen
Ein neues Projekt startet, und der Dienst verlangt einen API-Schlüssel. Eine erratbare Zeichenkette wie die eigene E-Mail öffnet Missbrauch Tür und Tor. Dieses Werkzeug erzeugt Schlüssel mit crypto.getRandomValues direkt im Browser, sodass nichts dein Gerät verlässt. Zur Auswahl stehen Hex, Base64, Base64URL sowie Buchstaben mit Ziffern. Ein Präfix bis zwanzig Zeichen ist möglich, getrennt durch einen Unterstrich. Die Länge liegt zwischen 8 und 256 Bytes; in Hex siehst du doppelt so viele Zeichen. Danach kopierst du mit einem Klick und legst den Wert in deiner Secrets-Verwaltung ab. Der Kopieren-Knopf legt den Wert direkt in die Zwischenablage, bereit für dein System.
Schritt für Schritt
- Trage die Länge ein; 8 bis 256 Bytes sind möglich.
- Wähle das Format: Hex, Base64, Base64URL oder Buchstaben mit Ziffern.
- Tippe bei Bedarf ein Präfix aus Buchstaben, Ziffern, Bindestrich und Unterstrich.
- Drücke Erzeugen und warte auf das Ergebnis.
- Kopiere es mit einem Klick und füge es in die Secrets-Verwaltung ein.
- Teile den Schlüssel nie per Mail oder Chat; ziehe ihn bei Verdacht sofort zurück.
Beispielszenario
Jonas arbeitet als Werkstudent an einem Nebenprojekt mit Webhooks für Bestellungen. Die Beispielschlüssel aus dem Forum will er nicht übernehmen. Er öffnet das Werkzeug und erzeugt einen 32-Byte-Schlüssel in Base64 mit dem Präfix test. Den Schlüssel trägt er in die lokale Umgebungsdatei ein, die er aus dem öffentlichen Repository heraushält. Beim Review zeigt er nur einen Platzhalter. Sein Betreuer nickt, die Anbindung läuft, und das echte Geheimnis bleibt auf Jonas Rechner. Später rotiert er den Schlüssel nach Absprache mit dem Betreuer und ersetzt ihn überall.
Ergebnis prüfen
Vergleiche zwei Durchläufe hintereinander; sie müssen sich deutlich unterscheiden. Steht ein Präfix davor, prüfe den Unterstrich als Trennzeichen. In Base64URL dürfen weder Plus noch Schrägstrich noch Gleichheitszeichen vorkommen. Entferne Leerzeichen am Anfang und Ende, bevor du den Schlüssel einfügst. Lege ihn in einer Secrets-Verwaltung ab, nicht in Notizen. Widerrufe ihn in der Dienstkonsole, sobald ein Leck möglich scheint. Füge den Wert erst in einen Texteditor ein und suche nach unerwünschten Zeilenumbrüchen. Notiere Ort und Datum der Verwendung für die spätere Rotation.
Häufige Fragen
Ist der Schlüssel wirklich zufällig?
Ja. Der Browser nutzt seinen kryptografischen Generator, keine vorhersagbare Mathefunktion.
Was bedeutet die Länge?
Sie zählt Bytes. In Hex erscheinen doppelt so viele Zeichen; 32 Bytes ergeben 64 Hexzeichen.
Wozu dient das Präfix?
Es hilft beim Erkennen, etwa welches System den Schlüssel nutzt. Geheimhaltung bringt es keine.
Gelangt der Schlüssel an einen Server?
Nein. Erzeugung und Kopieren bleiben im Browser; es gibt keine Netzwerkanfrage.
Welches Format soll ich wählen?
Base64URL für Adressen und Dateinamen, Hex für Datenbanken, Buchstaben mit Ziffern zum Ablesen.
Werkzeug öffnen: API-Token-Generator →
Vor der Verarbeitung eine Originalkopie behalten. Beispiele dienen der Erklärung; Ergebnisse hängen vom Dokument ab.