Générateur de clé secrète Flask
Flask Secret Key Generator — généré sur votre appareil, jamais transmis.
Paste into your .env:
Cela produit 64 caractères hexadécimaux – 32 octets aléatoires – ce qui est exactement ce que la documentation Flask recommande de générer avec secrets.token_hex(32). Il provient de la source cryptographique aléatoire de votre navigateur et n’est jamais envoyé nulle part.
Foire aux questions
Est-il sécuritaire de générer une clé secrète sur un site Web ?
C'est ici, car rien ne se transmet. La clé est produite par crypto.getRandomValues dans votre propre navigateur – le même générateur cryptographique que votre système d'exploitation utilise – et ne touche jamais le réseau. Vous pouvez vous déconnecter d’Internet et cette page fonctionne toujours, ce qui est le moyen le plus simple de le prouver.
Qu'est-ce qui se casse si mon flacon SECRET_KEY fuit ?
Les cookies de session dans Flask sont signés et non cryptés avec cette clé. Toute personne qui le détient peut à la fois lire le contenu de la session et créer une session valide pour n'importe quel utilisateur. Considérez donc une fuite comme un contournement d'authentification complet et faites-la pivoter immédiatement.
Dois-je utiliser une clé différente pour chaque environnement ?
Oui. Le développement, la mise en scène et la production doivent chacun avoir leur propre clé. En partager un signifie qu’une fuite n’importe où compromet partout, et cela permet à un jeton créé lors de la mise en scène d’être rejoué contre la production.
Où doit être stockée la clé ?
Dans une variable d'environnement ou un gestionnaire de secrets, jamais dans un contrôle de code source. Ajoutez votre fichier .env à .gitignore avant la première validation - une fois qu'un secret est dans l'historique de git, sa suppression ultérieure ne le supprime pas et la clé doit être pivotée.
Est-ce que cela fonctionne sur Windows, Mac, iPhone et Android ?
Oui. Il fonctionne dans n'importe quel navigateur moderne sous Windows, Mac, Linux, iPhone et Android sans rien à installer et aucun compte requis. Chrome, Edge, Firefox et Safari sont tous pris en charge.