Generador de Base64 aleatorio

Bytes, caracteres y entropía

La seguridad de una cadena aleatoria se mide en bits de entropía. Cada byte aleatorio aporta 8 bits, así que 16 bytes dan 128 bits y 32 bytes, 256 bits. Base64 solo cambia la forma de escribir esos bytes: cada carácter lleva 6 bits y cada 3 bytes se convierten en 4 caracteres. La herramienta muestra la entropía de cada cadena para que puedas comprobarla de un vistazo.

Con la unidad de bytes, la salida se decodifica exactamente en ese número de bytes aleatorios, que es lo que necesitan las claves y los secretos. Con la unidad de caracteres, obtienes un número exacto de caracteres, cada uno elegido de manera uniforme entre los 64 del alfabeto; úsala cuando un sistema pida un token de longitud fija y lo guarde como texto.

Dónde se usan los valores Base64 aleatorios

• Secretos JWT. RFC 7518 exige que la clave HMAC sea al menos tan larga como la salida del hash: 32 bytes para HS256, 48 para HS384 y 64 para HS512. Algunas bibliotecas usan la cadena del secreto tal cual y otras la decodifican antes desde Base64, así que comprueba qué espera la tuya. El decodificador JWT verifica firmas de HS256 a HS512 con cualquiera de los dos tipos de secreto, y el generador HMAC acepta la clave como texto, hexadecimal o Base64.
• Claves de aplicación. Laravel, por ejemplo, guarda una clave de cifrado de 32 bytes en su archivo .env como APP_KEY=base64:..., el mismo formato que una cadena de 32 bytes generada con esta herramienta.
• Secrets de Kubernetes. Los valores dentro de data deben ser Base64 estándar con relleno. Una cadena generada en modo bytes, con la variante Estándar y el relleno activado, puede ir ahí directamente, y el Pod recibe los bytes aleatorios sin procesar. Si la aplicación espera el propio texto Base64, colócalo en stringData.
• Tokens en URL. Los enlaces para restablecer contraseñas, los códigos de invitación y otros tokens que viajan en URL deben usar la variante segura para URL, que sustituye + y / por - y _. Consulta Base64URL para más detalles.

Por qué crypto.getRandomValues y no Math.random

Math.random() es un generador rápido de uso general. Su salida no está pensada para ser impredecible y, en algunos motores, el estado interno se puede reconstruir a partir de unos pocos valores. Esta herramienta usa crypto.getRandomValues(), un generador criptográficamente seguro que obtiene su semilla del sistema operativo, el mismo tipo de fuente que hay detrás de openssl rand y del módulo secrets de Python. Los valores se crean en tu dispositivo y nunca se envían ni se almacenan.

Generar Base64 aleatorio en código

# Shell: 32 bytes aleatorios en Base64 (44 caracteres)
openssl rand -base64 32
head -c 32 /dev/urandom | base64

# Python
import base64, secrets
base64.b64encode(secrets.token_bytes(32)).decode()
secrets.token_urlsafe(32)        # seguro para URL, sin relleno, 43 caracteres

// Node.js
const crypto = require('crypto');
crypto.randomBytes(32).toString('base64');
crypto.randomBytes(32).toString('base64url');   // seguro para URL, sin relleno

// Navegador
const bytes = crypto.getRandomValues(new Uint8Array(32));
btoa(String.fromCharCode(...bytes));