О генераторе секретных ключей JWT

Всё началось с простого разочарования. В 2023 году я работал допоздна над выходным проектом — небольшим сервисом аутентификации, которому требовались JWT-токены. Как и большинству разработчиков, мне нужно было быстро сгенерировать безопасный секретный ключ. То, что я нашёл в интернете, было разочаровывающим: инструменты, перегруженные рекламой, подозрительные политики конфиденциальности, или ещё хуже — сервисы, требующие регистрации по электронной почте просто для генерации случайной строки.

Я помню, как подумал: «Это не должно быть так сложно». Поэтому я провёл то воскресное послеобеденное время, создавая то, что хотел бы видеть — чистый, простой инструмент, который просто работает. Никакой регистрации. Никакого отслеживания. Никакой ерунды. Просто чистая криптографическая случайность, генерируемая прямо в вашем браузере с использованием Web Crypto API.

Я выложил это в интернет, поделился на нескольких форумах разработчиков и честно забыл об этом. Два месяца спустя я проверил аналитику из любопытства. 10 000 разработчиков использовали это. Затем 50 000. Затем сотни тысяч. Сообщения начали приходить потоком — разработчики из стартапов в Бангалоре, команды безопасности в банках Лондона, студенты, изучающие аутентификацию в Сан-Паулу. Все разделяли одно и то же мнение: «Наконец-то инструмент, который уважает разработчиков».

Именно тогда я понял, что это больше не просто проект выходного дня. Он заполняет реальный пробел. Поэтому я обязался сохранить его бесплатным, быстрым и честным — навсегда.

Будучи сами разработчиками, мы понимаем разочарование от инструментов, которые обещают слишком много и не оправдывают ожиданий. Мы сталкивались с «бесплатными» инструментами, которые внезапно требуют оплаты, политиками конфиденциальности, которые меняются за одну ночь, и сервисами, которые исчезают, когда они вам больше всего нужны.

Вот почему мы даём эти обещания:

• Конфиденциальность прежде всего: Ваши ключи никогда не будут логироваться, храниться или передаваться на какой-либо сервер. Это не обсуждается.
• Навсегда бесплатно: Этот инструмент останется полностью бесплатным. Никаких премиум-уровней, никаких блокировок функций, никаких скрытых затрат.
• Без сюрпризов: Мы не будем внезапно добавлять отслеживание, менять нашу политику конфиденциальности или начинать показывать рекламу. То, что вы видите, то и получаете.
• Постоянное улучшение: Мы регулярно обновляем инструмент с патчами безопасности, улучшениями производительности и функциями, запрашиваемыми пользователями.
• Дружелюбность к разработчикам: Мы прислушиваемся к отзывам. Если что-то вас беспокоит или могло бы работать лучше, мы хотим об этом услышать.
• Образовательный фокус: Мы предоставляем комплексные руководства и лучшие практики, потому что информированные разработчики создают более безопасные приложения.

Это не маркетинговые обещания — это основные принципы, по которым мы живём. Когда более 850 000 разработчиков доверяют нам свои потребности в безопасности, мы относимся к этой ответственности серьёзно.

Мы верим в простоту. Наш инструмент использует метод crypto.getRandomValues() Web Crypto API, который обращается к криптографически безопасному генератору псевдослучайных чисел (CSPRNG) вашей операционной системы. Это та же технология, которой доверяют браузеры, банки и системы безопасности по всему миру.

Мы не изобретаем велосипед. Мы не используем проприетарные алгоритмы. Мы следуем установленным стандартам, таким как NIST SP 800-90A, потому что они были тщательно проверены криптографами, гораздо умнее нас.

Весь инструмент построен на ванильном JavaScript — никаких тяжёлых фреймворков, никаких ненужных зависимостей. Это делает кодовую базу лёгкой, проверяемой и быстрой. Каждая строка кода служит цели, и ничто не обфусцировано и не скрыто.

Наша инфраструктура намеренно проста: статический хостинг с глобальным распределением CDN. Это даёт вам время загрузки менее секунды из любой точки мира и время безотказной работы 99,99%. Отсутствие сложного бэкенда означает отсутствие уязвимостей бэкенда.