---
title: "JWT Secret Generator – pwgen.de"
description: "Schlüssel für HS256 und HS512, mindestens so lang wie die Ausgabe der Hashfunktion."
canonical_url: "https://pwgen.de/jwt-secret-generator"
meta:
  "og:description": "Schlüssel für HS256 und HS512, mindestens so lang wie die Ausgabe der Hashfunktion."
  "og:image": "https://pwgen.de/_og/s/o_84b6729bed269b22.png"
  "og:image:height": "630"
  "og:image:type": image/png
  "og:image:width": "1200"
  "og:title": "JWT Secret Generator – pwgen.de"
  "twitter:image": "https://pwgen.de/_og/s/o_84b6729bed269b22.png"
---

> Index of every page on this site: [llms.txt](https://pwgen.de/llms.txt)

# **JWT Secret Generator**

Schlüssel für HS256 und HS512, mindestens so lang wie die Ausgabe der Hashfunktion.

Sehr stark**0 Bit**Im Browser erzeugt

## **Lokale Alternative**

`openssl rand -base64 32`

Wer Secrets lieber direkt auf dem Zielsystem erzeugt, nutzt diesen Befehl. Das Ergebnis ist gleichwertig.

[Offizielle Dokumentation](https://datatracker.ietf.org/doc/html/rfc7518#section-3.2)

Bei HMAC-signierten JSON Web Tokens bestimmt die Schlüssellänge die Sicherheit der Signatur. RFC 7518 verlangt einen Schlüssel, der mindestens so lang ist wie die Hash-Ausgabe: 32 Bytes für HS256, 64 Bytes für HS512. Eine kurze, menschenlesbare Passphrase als JWT-Secret ist ein häufiger und ernster Fehler, weil sie sich offline durchprobieren lässt.

## **Häufige Fragen**

Mindestens so lang wie die Ausgabe der verwendeten Hashfunktion – das schreibt RFC 7518 §3.2 vor. Für HS256 sind das 32 Bytes, für HS512 64 Bytes. Kürzere Schlüssel schwächen das Verfahren messbar.

Besser nicht. Wer den Schlüssel kennt, kann gültige Tokens für jeden Dienst ausstellen, der ihn akzeptiert. Ein eigener Schlüssel je Anwendung begrenzt den Schaden bei einem Leck.

Sie sind sofort ungültig, da die Signatur nicht mehr prüfbar ist. Wenn du das vermeiden willst, brauchst du eine Schlüsselrotation mit Key-ID im Token-Header, die alten und neuen Schlüssel eine Zeit lang parallel akzeptiert.

```json
{"@context":"https://schema.org","@graph":[{"@id":"https://pwgen.de/#website","@type":"WebSite","description":"Kostenloser, datenschutzfreundlicher Passwort-Generator. Generierung direkt im Browser – keine Passwörter werden gespeichert.","inLanguage":"de-DE","name":"pwgen.de","url":"https://pwgen.de/","publisher":{"@id":"https://pwgen.de/#identity"},"workTranslation":{"@id":"https://pwgen.de/en#website"}},{"@id":"https://pwgen.de/jwt-secret-generator#webpage","description":"Schlüssel für HS256 und HS512, mindestens so lang wie die Ausgabe der Hashfunktion.","name":"JWT Secret Generator","url":"https://pwgen.de/jwt-secret-generator","@type":["WebPage","FAQPage"],"breadcrumb":{"@id":"https://pwgen.de/jwt-secret-generator#breadcrumb"},"isPartOf":{"@id":"https://pwgen.de/#website"},"mainEntity":[{"@id":"https://pwgen.de/jwt-secret-generator#/schema/question/1"},{"@id":"https://pwgen.de/jwt-secret-generator#/schema/question/2"},{"@id":"https://pwgen.de/jwt-secret-generator#/schema/question/3"}],"potentialAction":[{"@type":"ReadAction","target":["https://pwgen.de/jwt-secret-generator"]}],"primaryImageOfPage":{"@id":"https://pwgen.de/#logo"}},{"@id":"https://pwgen.de/#identity","@type":"Organization","email":"info@htrs.io","legalName":"GbR HTRS i/o","name":"HTRS i/o","telephone":"+49 221 292 513 03","url":"https://pwgen.de","vatID":"DE359532582","address":{"@type":"PostalAddress","streetAddress":"Gotenring 9","addressLocality":"Köln","postalCode":"50679","addressCountry":"DE"},"logo":{"@id":"https://pwgen.de/#logo"},"sameAs":["https://htrs.io"]},{"@id":"https://pwgen.de/jwt-secret-generator#/schema/software-application/1","@type":"SoftwareApplication","applicationCategory":"DeveloperApplication","name":"pwgen.de – JWT Secret Generator","operatingSystem":"Web Browser","offers":{"@type":"Offer","availability":"https://schema.org/InStock","price":"0","priceCurrency":"EUR","priceValidUntil":"2027-12-30T00:00:00.000Z"}},{"@id":"https://pwgen.de/jwt-secret-generator#breadcrumb","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","name":"pwgen.de","item":"https://pwgen.de","position":1},{"@type":"ListItem","name":"Secrets","item":"https://pwgen.de/secrets","position":2},{"@type":"ListItem","name":"JWT Secret Generator","position":3}]},{"@id":"https://pwgen.de/jwt-secret-generator#/schema/question/1","@type":"Question","inLanguage":"de","name":"Wie lang muss ein HMAC-Secret für JWT sein?","acceptedAnswer":{"@type":"Answer","text":"Mindestens so lang wie die Ausgabe der verwendeten Hashfunktion – das schreibt RFC 7518 §3.2 vor. Für HS256 sind das 32 Bytes, für HS512 64 Bytes. Kürzere Schlüssel schwächen das Verfahren messbar."}},{"@id":"https://pwgen.de/jwt-secret-generator#/schema/question/2","@type":"Question","inLanguage":"de","name":"Kann ich denselben Schlüssel für mehrere Dienste nutzen?","acceptedAnswer":{"@type":"Answer","text":"Besser nicht. Wer den Schlüssel kennt, kann gültige Tokens für jeden Dienst ausstellen, der ihn akzeptiert. Ein eigener Schlüssel je Anwendung begrenzt den Schaden bei einem Leck."}},{"@id":"https://pwgen.de/jwt-secret-generator#/schema/question/3","@type":"Question","inLanguage":"de","name":"Was passiert mit ausgestellten Tokens nach einem Wechsel?","acceptedAnswer":{"@type":"Answer","text":"Sie sind sofort ungültig, da die Signatur nicht mehr prüfbar ist. Wenn du das vermeiden willst, brauchst du eine Schlüsselrotation mit Key-ID im Token-Header, die alten und neuen Schlüssel eine Zeit lang parallel akzeptiert."}},{"@id":"https://pwgen.de/#logo","@type":"ImageObject","caption":"HTRS i/o","contentUrl":"https://pwgen.de/apple-touch-icon.png","inLanguage":"de","url":"https://pwgen.de/apple-touch-icon.png"}]}
```

## Sitemap

See the full [sitemap](https://pwgen.de/sitemap.md) for all pages.