토큰 & API 키 생성기

엔트로피 122비트 · 브라우저에서 생성되며 서버로 전송되지 않아

왜 Math.random()은 안 돼?

Math.random()은 의사 난수 생성기야 — 출력값이 예측 가능하기 때문에 보안 토큰에 적합하지 않아. 이 도구는 TLS 및 SSH 키 생성에 사용되는 동일한 API인 crypto.getRandomValues()를 사용해.

토큰 유형 설명

UUID v4는 데이터베이스 ID와 상관 관계 토큰의 표준이야. Hex 문자열은 세션 토큰과 nonce에 잘 맞아. Base64는 API 토큰에 적합하게 간결해. 접두사가 있는 API 키(예: sk_ 또는 vlt_)는 유출된 자격 증명을 쉽게 식별하고 교체할 수 있게 해줘.

토큰은 얼마나 길어야 할까?

접근을 보호하는 값이라면 엔트로피 128비트가 최소선이고, NIST SP 800-63B도 무작위로 생성된 비밀에 이 수준을 기대해. Hex로는 32자, Base64로는 22자, 또는 UUID v4 하나에 해당해. 256비트를 넘겨도 무차별 대입에 대해 얻는 건 없고 로그 용량과 헤더 크기만 늘어나. 문자 집합보다 길이가 중요해서, 32자 Hex 토큰과 22자 Base64 토큰은 추측 난이도가 같아.

베어러 토큰, 액세스 토큰, API 키

이 이름들은 자격 증명이 어떻게 쓰이는지를 설명할 뿐 어떻게 생성되는지를 구분하지 않아. 베어러 토큰은 제시하는 것만으로 접근이 허용되는 토큰이고, 그래서 HTTP Authorization 헤더가 그대로 실어 나르지. 액세스 토큰은 수명이 짧은 베어러 토큰으로 보통 OAuth 흐름에서 발급돼. API 키는 사람이 아니라 서비스에 발급되는 수명이 긴 베어러 토큰이야. 생성 시점에서 셋은 모두 같은 것, 즉 엔트로피가 높은 불투명한 무작위 문자열이야. 앞의 둘에는 Hex나 Base64를 쓰고, 스캐너가 알아볼 수 있는 접두사가 필요하면 API 키 모드를 써.

API 키에 접두사를 붙이는 이유

GitHub, Stripe, OpenAI, Slack이 키에 접두사(ghp_, sk_live_, xoxb_)를 붙이는 이유는 하나야. 시크릿 스캐너가 주변 문맥 없이 문자열만 보고도 유출된 키를 알아볼 수 있기 때문이지. 접두사가 붙은 키를 공개 저장소에 푸시하면 발급자가 몇 분 안에 폐기할 수 있어. 접두사 없는 32자 Hex 문자열은 커밋 해시처럼 보여서 아무것도 잡아내지 못해. 접두사는 환경도 한눈에 구분되게 해줘. 운영 키를 스테이징 설정에 붙여넣는 사고를 막는 가장 저렴한 방어책이야.