Genera API keys seguros con formato, longitud y prefijo configurables
También podrías necesitar
Las API keys son el mecanismo más común para autenticar acceso a APIs: simples de implementar, fáciles de rotar y sin la complejidad de OAuth. Una API key bien generada debe ser criptográficamente aleatoria (impredecible por un atacante aunque conozca otras keys), suficientemente larga para resistir fuerza bruta, y en un formato fácil de manejar en headers HTTP y archivos de configuración. Esta herramienta genera API keys usando crypto.getRandomValues — la API del navegador que usa la fuente de entropía del sistema operativo, diseñada para uso criptográfico. Los cuatro formatos cubren los casos más comunes: hex (solo 0-9, a-f, el más compacto), base64 (más compacto con 64 símbolos, url-safe sin +/=), alfanumérico (A-Za-z0-9, safe en cualquier contexto sin encoding), y UUID-like (formato xxxxxxxx-xxxx-4xxx-yxxx-xxxxxxxxxxxx, reconocible como identificador único). El prefijo permite seguir la convención de Stripe (sk_live_, pk_live_), OpenAI (sk-), GitHub (ghp_, ghs_) u otros servicios, que facilita identificar el tipo de key en logs y configuraciones.
¿Cuál formato de API key debo elegir?
Depende del contexto de uso. Hex es el más universal: safe en headers HTTP, URLs, JSON y archivos de configuración sin necesidad de encoding. Base64 es más compacto (mismo entropy en menos caracteres) pero puede requerir URL-encoding si contiene +, /, = — esta herramienta los elimina para producir base64 URL-safe. Alfanumérico es el más compatible: solo caracteres A-Z, a-z, 0-9, sin símbolos que puedan causar problemas en cualquier contexto. UUID-like es reconocible como identificador por cualquier desarrollador.
¿Qué longitud es suficiente para una API key segura?
Depende del formato. Para hex: 32 caracteres = 128 bits de entropía (seguro para cualquier uso). Para alfanumérico: 32 caracteres con 62 símbolos = ~190 bits de entropía. Para base64 URL-safe: 32 caracteres con ~63 símbolos = ~190 bits. En la práctica, 128 bits de entropía es el estándar de la industria para tokens de seguridad. Keys más largas (48, 64 chars) proporcionan margen extra. Para comparación, Stripe usa 24+ chars en base62, GitHub usa 40 chars hex para PATs.
¿Para qué sirven los prefijos como 'sk-' o 'pk_live_'?
Los prefijos permiten identificar el tipo, entorno y propósito de una API key con solo mirar los primeros caracteres. Stripe usa sk_live_ (secret key producción), sk_test_ (secret key test), pk_live_ (publishable key), rk_ (restricted key). OpenAI usa sk- para todas las keys. GitHub usa ghp_ (personal access token), ghs_ (GitHub Actions), gho_ (OAuth), ghu_ (user-to-server). Esta convención hace más fácil diagnosticar problemas: si ves 'sk_test_' en un log de producción, inmediatamente sabes que hay un error de configuración.
¿Las keys se guardan o se envían a algún servidor?
No. La generación ocurre 100% en tu navegador usando crypto.getRandomValues — ninguna key sale de tu dispositivo. Puedes desconectar internet antes de usar la herramienta y seguirá funcionando. Las keys no se almacenan en ninguna base de datos, log o caché. Genera las keys aquí y guárdalas inmediatamente en tu sistema de gestión de secretos (AWS Secrets Manager, HashiCorp Vault, 1Password, Bitwarden).
¿Puedo usar las keys UUID-like como primary keys en base de datos?
Sí, con la misma caveats de UUID v4: son completamente aleatorias, lo que puede causar fragmentación en índices B-tree de MySQL y PostgreSQL en tablas de alto volumen. Para primary keys de base de datos con mejor performance, considera usar ULID o UUID v7 (herramientas disponibles en la sección Numbers). Para API keys que solo necesitan ser únicas y seguras, el formato UUID-like es perfectamente válido.