Les pubs vous déplaisent ? Aller Sans pub Auj. 

Générateur de nonce cryptographique

Promoteur

ANNONCE · Supprimer ?

SAISIR

Processus automatique

SORTIR

Côté client

Nonces générés

Exemples d'utilisation

En-tête CSP

Balise de script HTML

Paramètre d'état OAuth

Jeton CSRF

Cookie d'identifiant de session

Qu'est-ce qu'un nonce ?

ANNONCE · Supprimer ?

Guide

Générateur de nonce cryptographique

Générez des nonces cryptographiquement sécurisés (nombres utilisés une seule fois) pour les en-têtes CSP, les paramètres d'état OAuth, les jetons CSRF, les identifiants de session, et plus encore. Utilise crypto.getRandomValues() pour une véritable aléatoire — aucune alternative Math.random(). Sortie en format hexadécimal, Base64, Base64url ou tableau décimal. Tout s'exécute dans votre navigateur ; rien n'est envoyé à un serveur.

Comment utiliser

Sélectionnez une longueur en octets (8, 16, 24, 32 ou 64 octets, ou entrez une longueur personnalisée), choisissez votre format de sortie (hexadécimal, Base64, Base64url ou tableau décimal), et définissez combien de nonces générer. Les valeurs sont générées automatiquement lorsque vous modifiez les paramètres. Copiez les nonces individuels ou utilisez les exemples d'utilisation pré-formatés qui se remplissent automatiquement avec votre nonce généré pour les en-têtes CSP, les balises de script HTML, les paramètres d'état OAuth, les jetons CSRF et les cookies de session.

Caractéristiques

Caractère aléatoire cryptographique — Utilise exclusivement crypto.getRandomValues(). Pas d'alternative Math.random(). Produit des octets aléatoires cryptographiquement sécurisés provenant de la source d'entropie du système d'exploitation.
Plusieurs formats de sortie — Hexadécimal (minuscules), Base64 (standard), Base64url (sûr pour l'URL, sans remplissage) et tableau d'octets décimaux. Chaque format convient à différents cas d'utilisation.
Longueur en octets configurable — Longueurs prédéfinies (8, 16, 24, 32, 64 octets) ou personnalisées. L'affichage d'entropie montre les bits d'aléatoire (octets × 8).
Génération en masse — Générez jusqu'à 100 nonces à la fois, chacun avec un bouton de copie individuel.
Exemples d'utilisation — Extraits de code pré-formatés remplis automatiquement avec votre nonce : en-tête CSP, attribut nonce de script HTML, paramètre d'état OAuth, champ caché CSRF et cookie de session.
Affichage de l'entropie — Affiche les bits d'entropie pour la longueur en octets configurée afin que vous puissiez vérifier que votre nonce répond aux exigences de sécurité.
100% Client-Side — Rien ne quitte votre navigateur. Aucune requête serveur, aucun journal. Vos nonces restent privés.

Qu'est-ce qu'un nonce ?

Un nonce (« nombre utilisé une seule fois ») est une valeur aléatoire qui ne doit être utilisée qu'une seule fois. En cryptographie et en sécurité web, les nonces préviennent les attaques par rejeu, les attaques inter-sites (XSS) et la falsification de requêtes. L'exigence clé est l'imprévisibilité — un attaquant ne doit pas pouvoir deviner la valeur du nonce, c'est pourquoi la génération aléatoire cryptographique (pas pseudo-aléatoire) est essentielle.

ANNONCE · Supprimer ?

Quelle est la différence entre un nonce et un jeton aléatoire ?

Un nonce est spécifiquement un « nombre utilisé une seule fois » — il doit être unique à chaque utilisation et ne jamais être réutilisé. Un jeton aléatoire est un terme plus général pour toute valeur aléatoire utilisée pour l'authentification ou l'identification. En pratique, les nonces cryptographiques sont des jetons aléatoires avec la contrainte supplémentaire d'une seule utilisation. Les nonces CSP doivent être régénérés à chaque chargement de page. Les paramètres d'état OAuth doivent être uniques par requête d'autorisation. Les jetons CSRF doivent être uniques par session ou par requête. La méthode de génération est la même (aléatoire cryptographique), mais le modèle d'utilisation diffère.

Pourquoi ne pas utiliser Math.random() pour les nonces ?

Math.random() utilise un générateur de nombres pseudo-aléatoires (PRNG) qui N'EST PAS cryptographiquement sécurisé. Sa sortie est déterministe — si un attaquant connaît l'état interne, il peut prédire les valeurs futures. Les navigateurs modernes utilisent xorshift128+ ou des algorithmes similaires pour Math.random(), qui sont rapides mais prévisibles. crypto.getRandomValues() utilise le générateur de nombres aléatoires cryptographiques du système d'exploitation (CSPRNG), qui puise de l'entropie dans les événements matériels, rendant sa sortie imprévisible même pour un attaquant connaissant l'algorithme. Pour toute valeur sensible à la sécurité, utilisez toujours crypto.getRandomValues().

Combien d'octets mon nonce devrait-il faire ?

Cela dépend du cas d'utilisation. Pour les nonces CSP, 16 octets (128 bits) est le minimum recommandé — suffisant pour empêcher le devinement par force brute. Pour les paramètres d'état OAuth, 16 à 32 octets est standard. Pour les jetons CSRF, 16 octets minimum. Pour les identifiants de session, 32 octets (256 bits) offrent une marge de sécurité très confortable. La règle générale : 128 bits (16 octets) d'entropie sont considérés comme impossibles à deviner par force brute avec la technologie actuelle. 256 bits offrent une sécurité contre les attaques théoriques d'informatique quantique.

Qu'est-ce que Base64url et quand dois-je l'utiliser ?

Base64url est une variante de l'encodage Base64 sans danger pour l'URL. Base64 standard utilise les caractères + et /, qui ont une signification spéciale dans les URL et peuvent causer des problèmes dans les paramètres de requête, les cookies et les noms de fichiers. Base64url remplace + par – et / par _, et omet le remplissage =. Utilisez Base64url pour les paramètres d'état OAuth, les valeurs de requête d'URL, les jetons JWT, les valeurs de cookie et tout contexte où le nonce apparaîtra dans une URL ou un en-tête HTTP. Utilisez Base64 standard pour les nonces CSP (la spécification attend du Base64 standard) et les contextes où la sécurité de l'URL n'est pas une préoccupation.

Envie d'une expérience sans pub ? Passez à la version sans pub



 Installez nos extensions

Ajoutez des outils IO à votre navigateur préféré pour un accès instantané et une recherche plus rapide

Sur

恵 Le Tableau de Bord Est Arrivé !

Tableau de Bord est une façon amusante de suivre vos jeux, toutes les données sont stockées dans votre navigateur. D'autres fonctionnalités arrivent bientôt !

ANNONCE · Supprimer ?