Gerador de Segredos e Chaves de API

Continuar na ferramenta

Mais páginas desta ferramenta

gerar app key laravel

Gerar APP_KEY do Laravel (base64:) sem o artisan

No gerador, abra Laravel APP_KEY: a linha APP_KEY=base64:... sai pronta para colar no .env. Quando o artisan estiver à mão, o comando equivalente aparece logo abaixo do resultado.

O que é uma APP_KEY válida

A documentação de criptografia do Laravel explica que a opção key de config/app.php é alimentada pela variável APP_KEY e que o php artisan key:generate monta o valor com o gerador seguro de bytes do PHP. O resultado é o prefixo base64: seguido dos bytes aleatórios em base64. No código do Encrypter do framework, o tamanho vem da cifra configurada: 32 bytes para aes-256-cbc e aes-256-gcm, 16 bytes para aes-128-cbc e aes-128-gcm. Com a cifra padrão AES-256-CBC, a linha tem 51 caracteres (7 do prefixo mais 44 do base64); com AES-128, 31.
A chave protege tudo que o Laravel cifra: cookies, sessões criptografadas e qualquer valor passado por Crypt::encryptString, sempre assinado com um código de autenticação (MAC). Por isso o tamanho errado dá o erro "Unsupported cipher or incorrect key length": um valor com 31 bytes não serve para AES-256. Copiar a chave com um espaço no fim ou perder o prefixo base64: causa o mesmo tipo de falha, e a linha gerada aqui já vem no formato correto, sem aspas desnecessárias.
Trocar a APP_KEY tem custo. A documentação avisa que todas as sessões de usuário são encerradas, porque os cookies são criptografados, e que os dados cifrados com a chave antiga deixam de poder ser lidos. Para girar a chave sem esse corte, liste as chaves antigas em APP_PREVIOUS_KEYS, separadas por vírgula: o Laravel cifra sempre com a chave atual e, ao decifrar, tenta a atual e depois cada antiga. Em produção, nunca regere a chave de um app em uso sem esse plano, e mantenha uma chave diferente por ambiente.

Formatos conferidos

AES-256, o padrão

Entrada: 32 bytes
Saída esperada: base64: + 44 caracteres (51 no total)

256 bits de entropia.

AES-128

Entrada: 16 bytes
Saída esperada: base64: + 24 caracteres (31 no total)

128 bits de entropia.

Linha do .env

Entrada: APP_KEY
Saída esperada: APP_KEY=base64:...

Os caracteres + / = do base64 não exigem aspas.

Comando do framework

Entrada: php artisan key:generate --show
Saída esperada: imprime a chave sem gravar

Útil para copiar o valor sem mexer no .env.

Rotação

Entrada: APP_PREVIOUS_KEYS
Saída esperada: chaves antigas separadas por vírgula

Mantém sessões e dados antigos legíveis.

FAQ da ferramenta completa

Como gerar um JWT secret seguro para HS256?

Use pelo menos 32 bytes aleatórios (256 bits): a RFC 7518, seção 3.2, diz que a chave HMAC deve ter o tamanho da saída do hash ou mais, ou seja, 256 bits para HS256, 384 para HS384 e 512 para HS512. Uma frase curta ou palavra de dicionário como segredo pode ser quebrada por força bruta offline a partir de um único token.

O que é o APP_KEY do Laravel e como gerar?

Como é a SECRET_KEY do Django gerada aqui?

Qual o tamanho do secret_key_base do Rails?

Como gerar o AUTH_SECRET do Auth.js ou NextAuth?

Quantos bits de entropia um segredo precisa ter?

É seguro gerar segredos de produção em um site?

Por que não usar Math.random para gerar segredos?

Qual a diferença entre hex, base64 e base64url?

Para que serve o sufixo de verificação da chave de API?

Perguntas frequentes

Por que aparece "Unsupported cipher or incorrect key length"?

A chave não tem o tamanho que a cifra pede (32 bytes para AES-256, 16 para AES-128) ou o prefixo base64: foi perdido. Gere de novo no formato certo e limpe o cache de configuração.

Posso reaproveitar a APP_KEY entre ambientes?

Tecnicamente sim, mas não deve: uma chave vazada em desenvolvimento passa a decifrar dados de produção. Use uma chave por ambiente.

O APP_KEY é senha de usuário ou de banco?

Nenhuma das duas. Ela cifra e assina dados do próprio app, como cookies e valores de Crypt. Senhas de usuário usam hash separado, e a de banco fica em DB_PASSWORD.

Próximos passos

O que é uma APP_KEY válida

A documentação de criptografia do Laravel explica que a opção key de config/app.php é alimentada pela variável APP_KEY e que o php artisan key:generate monta o valor com o gerador seguro de bytes do PHP. O resultado é o prefixo base64: seguido dos bytes aleatórios em base64. No código do Encrypter do framework, o tamanho vem da cifra configurada: 32 bytes para aes-256-cbc e aes-256-gcm, 16 bytes para aes-128-cbc e aes-128-gcm. Com a cifra padrão AES-256-CBC, a linha tem 51 caracteres (7 do prefixo mais 44 do base64); com AES-128, 31.

A chave protege tudo que o Laravel cifra: cookies, sessões criptografadas e qualquer valor passado por Crypt::encryptString, sempre assinado com um código de autenticação (MAC). Por isso o tamanho errado dá o erro "Unsupported cipher or incorrect key length": um valor com 31 bytes não serve para AES-256. Copiar a chave com um espaço no fim ou perder o prefixo base64: causa o mesmo tipo de falha, e a linha gerada aqui já vem no formato correto, sem aspas desnecessárias.

Trocar a APP_KEY tem custo. A documentação avisa que todas as sessões de usuário são encerradas, porque os cookies são criptografados, e que os dados cifrados com a chave antiga deixam de poder ser lidos. Para girar a chave sem esse corte, liste as chaves antigas em APP_PREVIOUS_KEYS, separadas por vírgula: o Laravel cifra sempre com a chave atual e, ao decifrar, tenta a atual e depois cada antiga. Em produção, nunca regere a chave de um app em uso sem esse plano, e mantenha uma chave diferente por ambiente.

Formatos conferidos

AES-256, o padrão

Entrada: 32 bytes
Saída esperada: base64: + 44 caracteres (51 no total)

256 bits de entropia.

AES-128

Entrada: 16 bytes
Saída esperada: base64: + 24 caracteres (31 no total)

128 bits de entropia.

Linha do .env

Entrada: APP_KEY
Saída esperada: APP_KEY=base64:...

Os caracteres + / = do base64 não exigem aspas.

Comando do framework

Entrada: php artisan key:generate --show
Saída esperada: imprime a chave sem gravar

Útil para copiar o valor sem mexer no .env.

Rotação

Entrada: APP_PREVIOUS_KEYS
Saída esperada: chaves antigas separadas por vírgula

Mantém sessões e dados antigos legíveis.

FAQ da ferramenta completa

Como gerar um JWT secret seguro para HS256?

O que é o APP_KEY do Laravel e como gerar?

Como é a SECRET_KEY do Django gerada aqui?

Qual o tamanho do secret_key_base do Rails?

Como gerar o AUTH_SECRET do Auth.js ou NextAuth?

Quantos bits de entropia um segredo precisa ter?

É seguro gerar segredos de produção em um site?

Por que não usar Math.random para gerar segredos?

Qual a diferença entre hex, base64 e base64url?

Para que serve o sufixo de verificação da chave de API?

Perguntas frequentes

Por que aparece "Unsupported cipher or incorrect key length"?

A chave não tem o tamanho que a cifra pede (32 bytes para AES-256, 16 para AES-128) ou o prefixo base64: foi perdido. Gere de novo no formato certo e limpe o cache de configuração.

Posso reaproveitar a APP_KEY entre ambientes?

Tecnicamente sim, mas não deve: uma chave vazada em desenvolvimento passa a decifrar dados de produção. Use uma chave por ambiente.

O APP_KEY é senha de usuário ou de banco?

Nenhuma das duas. Ela cifra e assina dados do próprio app, como cookies e valores de Crypt. Senhas de usuário usam hash separado, e a de banco fica em DB_PASSWORD.