Genera stringhe alfanumeriche, esadecimali o personalizzate per token, codici identificativi, chiavi API, nomi file unici e applicazioni software. Casualità crittografica per unicità garantita.
Un identificativo prevedibile è una falla di sicurezza. Questo generatore produce stringhe casuali attingendo alla sorgente crittografica del sistema operativo, la stessa da cui nascono le chiavi con cui si firmano i certificati TLS. Che ti serva una chiave API da 32 caratteri, un token per il reset di una password, un identificativo esadecimale per un record o una password provvisoria da passare a un collega, la ottieni all'istante scegliendo alfabeto e lunghezza. Nessun pattern, nessun contatore incrementale, nessuna sequenza che si indovina a colpo d'occhio.
La differenza tra una stringa casuale seria e una fasulla sta nella sorgente. I generatori pseudocasuali classici, come rand() o Math.random(), partono da un seme e producono sequenze riproducibili: comode per le simulazioni, pericolose per la sicurezza. Qui ogni carattere è pescato da un CSPRNG, un generatore crittograficamente sicuro (crypto.getRandomValues() nel browser), che attinge all'entropia raccolta dal kernel.
Scegli lunghezza e set di caratteri, poi per ogni posizione lo strumento estrae un indice uniforme all'interno dell'alfabeto selezionato. L'uniformità non è un dettaglio: evita il bias del modulo, il difetto per cui i primi simboli dell'alfabeto uscirebbero un po' più spesso degli altri. Così ogni carattere ha la stessa probabilità di comparire in qualsiasi punto della stringa.
L'alfabeto decide la robustezza. L'esadecimale (0-9, a-f) rende 4 bit netti per carattere ed è compatibile ovunque; l'alfanumerico che mescola maiuscole, minuscole e cifre sale a circa 5,95 bit per carattere; il solo numerico serve per PIN e OTP. Più ampio è l'alfabeto e più lunga la stringa, più alta è l'entropia complessiva.
Generi una API key o un client secret da 40 caratteri alfanumerici da incollare nelle variabili d'ambiente, senza ripiegare su password deboli scelte a mano.
Un token esadecimale da 64 caratteri per il link di reset password o per il cookie di sessione, con entropia sufficiente a rendere inutile un attacco a forza bruta.
ID corti per URL brevi, codici ordine o nomi di file caricati, tipo aZ9kQ2, quando ti basta un identificatore leggibile e non un UUID lungo trentasei caratteri.
Lotti di coupon o codici invito in maiuscole e cifre, come X7K2M9, facili da leggere al telefono e da digitare senza ambiguità.
Riempi un database di staging con username, password fittizie e riferimenti casuali per collaudare form e validazioni senza toccare dati reali.
Un codice a 6 cifre per l'autenticazione a due fattori o un PIN provvisorio, generato dallo stesso motore casuale ma sull'alfabeto solo-numerico.
L'entropia di una stringa si misura in bit ed è pari alla lunghezza moltiplicata per il logaritmo in base 2 della dimensione dell'alfabeto. Una stringa di 16 caratteri alfanumerici (62 simboli) vale circa 95 bit; una di 32 caratteri esadecimali (16 simboli) vale esattamente 128 bit. È lo stesso metro con cui si valuta la forza di una chiave crittografica.
La soglia pratica di riferimento è 128 bit: al di sopra, le combinazioni possibili (oltre 3,4 per 10 alla 38) rendono un attacco a forza bruta irrealizzabile con qualsiasi hardware esistente. Per questo i token di sicurezza puntano quasi sempre a 128 bit o più, mentre per un codice usa-e-getta o un ID interno bastano 60-80 bit.
Attenzione a non scambiare la lunghezza per robustezza. Una stringa di 20 cifre numeriche ha meno entropia (circa 66 bit) di una di 12 caratteri alfanumerici (circa 71 bit), perché l'alfabeto ristretto pesa più della lunghezza. Allargare il set di caratteri è spesso più efficace che allungare la stringa.
Sì, se scegli una lunghezza adeguata. Lo strumento usa un generatore crittograficamente sicuro, non un pseudocasuale prevedibile. Per una chiave API o un token punta ad almeno 32 caratteri esadecimali o 24 alfanumerici, così superi i 128 bit di entropia.
Math.random() è un generatore pseudocasuale veloce ma prevedibile: a partire dallo stato interno si possono ricostruire i valori successivi. Questo strumento usa la sorgente crittografica del sistema (crypto.getRandomValues), pensata proprio per i segreti e non riproducibile.
No. La generazione avviene nel tuo browser tramite l'API crittografica nativa, quindi le stringhe non vengono trasmesse né archiviate. Puoi usarle per secret e password senza timore che restino da qualche parte.
Meglio maiuscole e cifre, evitando i caratteri ambigui. Un set senza O e 0, senza I e 1, riduce gli errori di trascrizione. Per un coupon o un codice invito bastano 6-8 caratteri; per un token di sicurezza servono lunghezze ben maggiori.
Sì, imposti la quantità e ottieni un elenco di stringhe indipendenti. Con alfabeti ampi e lunghezze ragionevoli la probabilità di collisione, cioè due stringhe identiche, è trascurabile: a 128 bit di entropia servirebbero miliardi di generazioni per avvicinarsi al rischio.
Per una password robusta punta ad almeno 12-16 caratteri con maiuscole, minuscole e cifre. Sotto i 10 caratteri l'entropia scende sotto la soglia di sicurezza pratica. Se a memorizzarla è una macchina e non una persona, tanto vale allungarla ancora.