Identifiants uniques et secrets d'authentification sont au cœur de presque tout système informatique moderne. Ce guide explique ce qu'est un UUID, comment générer une clé API réellement sécurisée, et comment éviter les erreurs de stockage les plus coûteuses.
Un UUID (Universally Unique Identifier) est un identifiant de 128 bits, généralement représenté sous forme de 32 caractères hexadécimaux séparés par des tirets (ex: 550e8400-e29b-41d4-a716-446655440000). Sa raison d'être : permettre à n'importe quel système, n'importe où, de générer un identifiant sans avoir besoin de consulter une autorité centrale pour éviter les doublons.
Avec 2^122 combinaisons possibles pour un UUID v4 (les quelques bits restants codent la version et la variante), la probabilité de collision entre deux UUID générés indépendamment est si infime qu'elle est considérée comme négligeable en pratique, même à très grande échelle.
Il existe plusieurs versions d'UUID, qui diffèrent par leur méthode de génération :
| Version | Méthode | Usage typique |
|---|---|---|
| v1 | Basé sur l'horodatage et l'adresse MAC de la machine | Rare aujourd'hui — peut révéler des informations sur le système générateur |
| v4 | Entièrement aléatoire (cryptographiquement sûr) | Le standard actuel pour la quasi-totalité des usages |
| v5 | Dérivé d'un nom et d'un espace de noms (déterministe) | Quand on veut le même UUID à partir des mêmes données en entrée |
L'UUID v4, généré par cet outil, est le plus adapté à la quasi-totalité des cas d'usage modernes (identifiants de ressources, clés primaires de base de données, identifiants de session) car il ne révèle aucune information sur le moment ou la machine de génération, contrairement à la v1.
Une clé API (ou un secret/token d'authentification) doit avant tout être imprévisible : impossible à deviner même en connaissant la méthode de génération, sauf à connaître la valeur elle-même. Cela implique deux exigences techniques :
Math.random() en JavaScript), mais une API dédiée comme crypto.getRandomValues, utilisée par cet outil.Une clé générée à partir de 32 octets aléatoires (256 bits) offre une marge de sécurité considérable, largement suffisante pour la quasi-totalité des usages d'authentification — c'est d'ailleurs la valeur par défaut de l'outil. Réduire la longueur réduit directement le nombre de combinaisons possibles, donc la résistance théorique à une attaque par force brute.
Une fonction comme Math.random() n'est pas conçue pour la sécurité : son algorithme interne (souvent un générateur pseudo-aléatoire prévisible) peut, dans certains cas, être deviné ou reconstitué par un attaquant déterminé. Toujours utiliser une source dédiée à la cryptographie pour générer un secret.
Générer une clé robuste ne suffit pas si elle est ensuite stockée ou transmise de façon négligente :
Statistiquement possible mais d'une probabilité si infime (de l'ordre d'une chance sur des milliards de milliards pour deux UUID v4) qu'elle est considérée comme nulle en pratique pour tout usage réel.
L'hexadécimal n'utilise que 16 caractères (0-9, a-f), produisant une clé plus longue pour la même quantité d'aléa. Le Base64 utilise 64 caractères, donc une représentation plus compacte — le Base64URL (variante sans +//) est recommandé si la clé doit apparaître dans une URL.
C'est une pratique courante chez de nombreux fournisseurs (Stripe en est un exemple connu) car cela permet d'identifier visuellement le type et l'environnement d'une clé, et facilite la détection automatique de fuites de secrets dans du code (scanners de sécurité).
Indéfiniment du point de vue technique — cet outil ne fait que générer une valeur aléatoire, sans notion d'expiration. La durée de vie et la révocation dépendent entièrement du système dans lequel cette clé sera ensuite utilisée et enregistrée.
Outils similaires