Gerador de Segredos e Chaves de API

Continuar na ferramenta

Mais páginas desta ferramenta

gerar secret key django

Gerar SECRET_KEY do Django (50 caracteres, como o get_random_secret_key)

Abra Django SECRET_KEY no gerador e use os valores sorteados. A linha para o .env já sai entre aspas simples, o cuidado que a maioria dos exemplos esquece.

O que o Django espera da SECRET_KEY

A documentação do Django define a SECRET_KEY como um valor único e imprevisível, usado para assinatura criptográfica. Ela protege sessões, mensagens em cookies, tokens do PasswordResetView e qualquer uso de signing. O aviso é direto: rodar com uma chave conhecida desfaz várias proteções e pode levar a escalonamento de privilégios e execução remota de código. A função get_random_secret_key() de django.core.management.utils devolve 50 caracteres sorteados de abcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*(-_=+), um conjunto de 50 símbolos.
A entropia vem de comprimento vezes log2 do alfabeto: 50 x log2(50) dá cerca de 282 bits, muito acima dos 256 que um segredo HMAC pede. O gerador reproduz exatamente esse conjunto e sorteia por rejeição, sem favorecer símbolo algum, com crypto.getRandomValues. Os símbolos especiais trazem um problema prático: $ e # em arquivo .env sem aspas podem ser lidos como interpolação ou comentário, e a linha SECRET_KEY=abc#def perderia tudo depois do #. Por isso a saída para .env usa aspas simples, que a maioria dos leitores de .env trata como texto literal.
Nunca deixe a chave do startproject em produção nem a suba para o Git: leia-a do ambiente (os.environ) ou de um gerenciador de segredos, uma por ambiente. Para girar, a documentação manda colocar a nova chave em SECRET_KEY e mover a antiga para o início de SECRET_KEY_FALLBACKS, removendo-a quando quiser expirar as sessões e os tokens que dependem dela. Sem isso, todas essas coisas são invalidadas de uma vez. As senhas dos usuários não são afetadas, pois não usam a SECRET_KEY.

Propriedades conferidas

Tamanho da chave

Entrada: get_random_secret_key()
Saída esperada: 50 caracteres

Mesmo comprimento do gerador.

Tamanho do alfabeto

Entrada: a-z, 0-9 e !@#$%^&*(-_=+)
Saída esperada: 50 símbolos

26 letras, 10 dígitos e 14 símbolos.

Entropia

Entrada: 50 x log2(50)
Saída esperada: cerca de 282 bits

Cerca de 5,64 bits por caractere.

Linha do .env

Entrada: SECRET_KEY
Saída esperada: SECRET_KEY='...'

Aspas simples protegem $ e #.

Comparação com alfanumérico

Entrada: 32 caracteres de 62 símbolos
Saída esperada: cerca de 190 bits

32 x log2(62), menos que os 50 do Django.

FAQ da ferramenta completa

Como gerar um JWT secret seguro para HS256?

Use pelo menos 32 bytes aleatórios (256 bits): a RFC 7518, seção 3.2, diz que a chave HMAC deve ter o tamanho da saída do hash ou mais, ou seja, 256 bits para HS256, 384 para HS384 e 512 para HS512. Uma frase curta ou palavra de dicionário como segredo pode ser quebrada por força bruta offline a partir de um único token.

O que é o APP_KEY do Laravel e como gerar?

Como é a SECRET_KEY do Django gerada aqui?

Qual o tamanho do secret_key_base do Rails?

Como gerar o AUTH_SECRET do Auth.js ou NextAuth?

Quantos bits de entropia um segredo precisa ter?

É seguro gerar segredos de produção em um site?

Por que não usar Math.random para gerar segredos?

Qual a diferença entre hex, base64 e base64url?

Para que serve o sufixo de verificação da chave de API?

Perguntas frequentes

Posso usar uma chave só alfanumérica no Django?

Pode. O Django só pede um valor único e imprevisível. Com 62 símbolos, use pelo menos 43 caracteres para passar de 256 bits. O formato Alfanumérico do gerador mostra a entropia de cada tamanho.

O que acontece se eu trocar a SECRET_KEY?

Sessões, mensagens em cookie, tokens de redefinição de senha e valores assinados feitos com a chave antiga deixam de valer. Para evitar o corte, use SECRET_KEY_FALLBACKS durante a transição.

Meu .env cortou a chave no meio. Por quê?

Provavelmente havia um # sem aspas, tratado como início de comentário, ou um $ lido como variável. Coloque o valor entre aspas simples, como o gerador faz.

Próximos passos

O que o Django espera da SECRET_KEY

A documentação do Django define a SECRET_KEY como um valor único e imprevisível, usado para assinatura criptográfica. Ela protege sessões, mensagens em cookies, tokens do PasswordResetView e qualquer uso de signing. O aviso é direto: rodar com uma chave conhecida desfaz várias proteções e pode levar a escalonamento de privilégios e execução remota de código. A função get_random_secret_key() de django.core.management.utils devolve 50 caracteres sorteados de abcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*(-_=+), um conjunto de 50 símbolos.

A entropia vem de comprimento vezes log2 do alfabeto: 50 x log2(50) dá cerca de 282 bits, muito acima dos 256 que um segredo HMAC pede. O gerador reproduz exatamente esse conjunto e sorteia por rejeição, sem favorecer símbolo algum, com crypto.getRandomValues. Os símbolos especiais trazem um problema prático: $ e # em arquivo .env sem aspas podem ser lidos como interpolação ou comentário, e a linha SECRET_KEY=abc#def perderia tudo depois do #. Por isso a saída para .env usa aspas simples, que a maioria dos leitores de .env trata como texto literal.

Nunca deixe a chave do startproject em produção nem a suba para o Git: leia-a do ambiente (os.environ) ou de um gerenciador de segredos, uma por ambiente. Para girar, a documentação manda colocar a nova chave em SECRET_KEY e mover a antiga para o início de SECRET_KEY_FALLBACKS, removendo-a quando quiser expirar as sessões e os tokens que dependem dela. Sem isso, todas essas coisas são invalidadas de uma vez. As senhas dos usuários não são afetadas, pois não usam a SECRET_KEY.

Propriedades conferidas

Tamanho da chave

Entrada: get_random_secret_key()
Saída esperada: 50 caracteres

Mesmo comprimento do gerador.

Tamanho do alfabeto

Entrada: a-z, 0-9 e !@#$%^&*(-_=+)
Saída esperada: 50 símbolos

26 letras, 10 dígitos e 14 símbolos.

Entropia

Entrada: 50 x log2(50)
Saída esperada: cerca de 282 bits

Cerca de 5,64 bits por caractere.

Linha do .env

Entrada: SECRET_KEY
Saída esperada: SECRET_KEY='...'

Aspas simples protegem $ e #.

Comparação com alfanumérico

Entrada: 32 caracteres de 62 símbolos
Saída esperada: cerca de 190 bits

32 x log2(62), menos que os 50 do Django.

FAQ da ferramenta completa

Como gerar um JWT secret seguro para HS256?

O que é o APP_KEY do Laravel e como gerar?

Como é a SECRET_KEY do Django gerada aqui?

Qual o tamanho do secret_key_base do Rails?

Como gerar o AUTH_SECRET do Auth.js ou NextAuth?

Quantos bits de entropia um segredo precisa ter?

É seguro gerar segredos de produção em um site?

Por que não usar Math.random para gerar segredos?

Qual a diferença entre hex, base64 e base64url?

Para que serve o sufixo de verificação da chave de API?

Perguntas frequentes

Posso usar uma chave só alfanumérica no Django?

Pode. O Django só pede um valor único e imprevisível. Com 62 símbolos, use pelo menos 43 caracteres para passar de 256 bits. O formato Alfanumérico do gerador mostra a entropia de cada tamanho.

O que acontece se eu trocar a SECRET_KEY?

Sessões, mensagens em cookie, tokens de redefinição de senha e valores assinados feitos com a chave antiga deixam de valer. Para evitar o corte, use SECRET_KEY_FALLBACKS durante a transição.

Meu .env cortou a chave no meio. Por quê?

Provavelmente havia um # sem aspas, tratado como início de comentário, ou um $ lido como variável. Coloque o valor entre aspas simples, como o gerador faz.