Question 1

Czym jest kryptograficzny tajny klucz (secret key)?

Accepted Answer

Kryptograficzny tajny klucz to ciąg losowych bajtów używany do zabezpieczania danych przez szyfrowanie, uwierzytelnianie lub podpisywanie. W odróżnieniu od haseł nie służy do zapamiętywania — przechowuje się go bezpiecznie w zmiennych środowiskowych, systemach zarządzania kluczami lub menedżerach sekretów, a aplikacje używają go do ochrony komunikacji API, podpisywania tokenów i szyfrowania wrażliwych danych.

Question 2

Jakiego rozmiaru klucza użyć?

Accepted Answer

Dla większości nowoczesnych aplikacji klucze 256-bitowe zapewniają doskonały balans bezpieczeństwa i wydajności i są zalecanym domyślnym wyborem. Klucze 128-bitowe wystarczają do tokenów sesji i soli. Klucze 384- i 512-bitowe dają dodatkowe bezpieczeństwo dla długo żyjących sekretów lub ważnych operacji kryptograficznych, np. podpisywania HMAC z SHA-512.

Question 3

Czym różni się kodowanie HEX od Base64?

Accepted Answer

Zarówno HEX, jak i Base64 to sposoby zapisu tych samych losowych bajtów jako tekstu. HEX używa znaków 0–9 i a–f i daje dłuższy ciąg (64 znaki dla 256 bitów). Base64 używa A–Z, a–z, 0–9, + oraz / i daje krótszy ciąg (44 znaki dla 256 bitów). HEX jest popularny w kontekście bezpieczeństwa dzięki czytelności, a Base64 jest bardziej zwarty i często stosowany w nagłówkach HTTP i tokenach.

Question 4

Czym jest Base64URL i kiedy go używać?

Accepted Answer

Base64URL to bezpieczny dla adresów URL wariant Base64, który zamienia + na -, / na _ i pomija dopełnienie =. Dzięki temu można go używać w adresach URL, parametrach zapytań, nagłówkach HTTP i tokenach JWT bez kodowania procentowego. Używaj Base64URL zawsze, gdy klucz pojawi się w adresie URL lub w kontekście HTTP.

Question 5

Czy mogę wygenerować tu sekret do JWT?

Accepted Answer

Tak. Dla sekretów JWT używanych z algorytmami HMAC (HS256, HS384, HS512) wybierz 256 bitów oraz format Base64 lub Base64URL. Wygenerowany klucz od razu nadaje się jako sekret podpisujący JWT. Dla JWT typu RS256 lub ES256 potrzebna jest para kluczy asymetrycznych, czego to narzędzie nie obsługuje.

Question 6

Jak bezpiecznie przechowywać tajny klucz?

Accepted Answer

Nigdy nie umieszczaj tajnych kluczy w kodzie źródłowym ani w repozytorium. Przechowuj je w zmiennych środowiskowych, dedykowanym menedżerze sekretów (np. AWS Secrets Manager, HashiCorp Vault lub Doppler) albo w zaszyfrowanym pliku .env wykluczonym z repozytorium przez .gitignore. Jeśli podejrzewasz ujawnienie klucza, natychmiast go zmień.

Question 7

Czego unikać przy tworzeniu tajnego klucza?

Accepted Answer

Unikaj kluczy wymyślanych samodzielnie, takich jak słowa, „secret123” czy losowe uderzanie w klawisze, oraz słabych źródeł losowości, np. Math.random(), znaczników czasu czy liczników. Atakujący mogą je odgadnąć lub odtworzyć. Unikaj też kluczy krótszych niż 128 bitów. Używaj kryptograficznie bezpiecznego generatora, takiego jak crypto.getRandomValues, którego używa to narzędzie.

Question 8

Czy mogę umieścić tajny klucz w kodzie front-end lub aplikacji mobilnej?

Accepted Answer

Nie. Wszystko, co trafia do przeglądarki lub aplikacji, można wydobyć, nawet jeśli kod jest zaciemniony, więc klucz tam umieszczony przestaje być tajny. Trzymaj klucze podpisujące i sekrety API na serwerze i nie wklejaj ich do wiadomości na czacie, zgłoszeń, zrzutów ekranu ani plików logów.

Question 9

Czy używać tego samego klucza w środowisku deweloperskim i produkcyjnym?

Accepted Answer

Nie. Używaj osobnego klucza dla każdego środowiska i każdej usługi. Jeśli klucz deweloperski wycieknie z laptopa, współdzielonego repozytorium lub logu budowania, system produkcyjny pozostanie bezpieczny. Jeśli podejrzewasz ujawnienie klucza, natychmiast go zmień.