Générateur de Base64 aléatoire

Octets, caractères et entropie

La robustesse d’une chaîne aléatoire se mesure en bits d’entropie. Chaque octet aléatoire apporte 8 bits : 16 octets donnent donc 128 bits, et 32 octets 256 bits. Base64 ne change que la façon d’écrire ces octets : chaque caractère porte 6 bits, et 3 octets deviennent 4 caractères. L’outil affiche l’entropie de chaque chaîne, ce qui permet de la contrôler d’un coup d’œil.

Avec l’unité Octets aléatoires, la sortie se décode en exactement ce nombre d’octets aléatoires, ce dont ont besoin les clés et les secrets. Avec l’unité Caractères, vous obtenez un nombre exact de caractères, chacun tiré uniformément dans l’alphabet de 64 caractères ; utilisez-la lorsqu’un système demande un jeton de longueur fixe et le stocke sous forme de texte.

Où utiliser des valeurs Base64 aléatoires

• Secrets JWT. La RFC 7518 exige une clé HMAC au moins aussi longue que la sortie du hachage : 32 octets pour HS256, 48 pour HS384 et 64 pour HS512. Certaines bibliothèques utilisent la chaîne secrète telle quelle, d’autres la décodent d’abord depuis le Base64 : vérifiez ce qu’attend la vôtre. Le décodeur JWT vérifie les signatures HS256 à HS512 avec l’un ou l’autre type de secret, et le générateur HMAC accepte une clé au format texte, hexa ou Base64.
• Clés d’application. Laravel, par exemple, conserve une clé de chiffrement de 32 octets dans son fichier .env sous la forme APP_KEY=base64:..., soit le même format qu’une chaîne de 32 octets produite par cet outil.
• Secrets Kubernetes. Les valeurs placées sous data doivent être en Base64 standard avec remplissage. Une chaîne générée en octets, avec la variante Standard et le remplissage activé, peut y figurer directement, et le Pod reçoit les octets aléatoires bruts. Si l’application attend le texte Base64 lui-même, placez-le plutôt sous stringData.
• Jetons dans les URL. Les liens de réinitialisation de mot de passe, les codes d’invitation et les autres jetons transmis dans des URL doivent utiliser la variante compatible URL, qui remplace + et / par - et _. Voir Base64URL pour plus de détails.

Pourquoi crypto.getRandomValues et non Math.random

Math.random() est un générateur rapide à usage général. Sa sortie n’est pas conçue pour être imprévisible et, avec certains moteurs, son état interne peut être reconstitué à partir d’une poignée de valeurs. Cet outil utilise crypto.getRandomValues(), un générateur cryptographiquement sûr dont la graine est fournie par le système d’exploitation, soit le même type de source que celle qu’emploient openssl rand et le module secrets de Python. Les valeurs sont créées sur votre appareil et ne sont jamais envoyées ni stockées.

Générer du Base64 aléatoire dans votre code

# Shell : 32 octets aléatoires en Base64 (44 caractères)
openssl rand -base64 32
head -c 32 /dev/urandom | base64

# Python
import base64, secrets
base64.b64encode(secrets.token_bytes(32)).decode()
secrets.token_urlsafe(32)        # compatible URL, sans remplissage, 43 caractères

// Node.js
const crypto = require('crypto');
crypto.randomBytes(32).toString('base64');
crypto.randomBytes(32).toString('base64url');   // compatible URL, sans remplissage

// Navigateur
const bytes = crypto.getRandomValues(new Uint8Array(32));
btoa(String.fromCharCode(...bytes));