Generator — Tipps & Tricks

Zurück zur Übersicht: Generator · Tool live öffnen: www.jpkc.com/tools/generator/

Das Manual erklärt jeden Reiter, die Beispiele zeigen die Abläufe. Hier geht es um die Entscheidungen dahinter: wie stark ein Passwort wirklich sein muss, wann eine Passphrase die bessere Wahl ist, welches Verfahren in die .htpasswd gehört — und wo du die Ergebnisse danach einsetzt.

Passwort-Stärke: Länge schlägt Zeichensatz

Länge ist der wichtigste Hebel. Jedes zusätzliche Zeichen multipliziert die Möglichkeiten. Ein 24-Zeichen-Passwort aus nur Buchstaben und Ziffern ist sicherer als ein 10-Zeichen-Passwort mit allen Sonderzeichen. Im Zweifel die Length hochziehen, statt an Sonderzeichen zu feilen.
Die Entropie-Anzeige als Maßstab. Das Badge neben den Buttons rechnet dir die Stärke in Bit aus. Ab 80 Bit steht dort very strong — das schaffen schon 13 Zeichen aus dem vollen Zeichensatz, 14 alphanumerische Zeichen oder sechs Wörter einer Passphrase mit Ziffer.
Sonderzeichen nur, wo das Zielsystem mitspielt. Manche Logins, Datenbanken oder Konfigurationsdateien zicken bei &, /, ;, = oder Klammern. Dafür gibt es die Stufe less specials (ohne diese Zeichen) und a-z + A-Z + 0-9 (rein alphanumerisch, fast überall einsetzbar). Exotische Zeichen wie § oder Leerzeichen enthalten die Zeichensätze der Zufallspasswörter ohnehin nicht — alle sind reines ASCII. Ein Leerzeichen bekommst du nur, wenn du es bei Passphrasen als Trennzeichen wählst.
Look-alikes ausschließen, wenn ein Mensch abtippt. Der Schalter Exclude look-alikes entfernt 0 O o 1 l I und spart Rückfragen beim Vorlesen oder Abschreiben. Der kleinere Zeichensatz kostet etwas Entropie; bei üblichen Längen gleichen ein, zwei Zeichen mehr das aus.
Hex für Tokens, nicht für Menschen. Die Stufe a-f + 0-9 (hex) liefert einen sauberen, gut kopierbaren String für API-Tokens und maschinelle Keys — zum Merken ist sie wegen des kleinen Alphabets ungeeignet.
Passphrase für alles, was du dir merken musst. Sechs zufällige Wörter aus der EFF-Liste sind leichter zu behalten und auf dem Smartphone schneller getippt als 14 wilde Zeichen — bei vergleichbarer Stärke. Ideal für das Master-Passwort deines Passwort-Managers oder die Anmeldung am Rechner. Wichtig ist, dass die Wörter wirklich zufällig gezogen sind; eine selbst ausgedachte Wortfolge ist viel schwächer.
Apple-Stil ist der kompakte Kompromiss. Aussprechbar, mit Bindestrichen segmentiert und mit Ziffer und Großbuchstabe — gut für Geräte- oder WLAN-Passwörter, die in ein Formular mit Zeichenbegrenzung müssen. Für rein maschinelle Geheimnisse nimm lieber eine große Länge im Standard-Zeichensatz.
Jeder Wert ist ein Einmalwert. Generierst du erneut, ist der alte weg — kopier ihn, bevor du neu generierst. Brauchst du mehrere, stell How many hoch, statt mehrmals zu klicken.

bcrypt-Cost für die .htpasswd klug wählen

Beim Passwort-Hashing ist die Langsamkeit das Sicherheitsmerkmal: Je teurer der Hash, desto teurer ein Brute-Force-Angriff — aber desto länger rechnet auch der Server, wenn er ein Passwort prüft.

10 ist der Standard. Die Vorgabe im Reiter .htpasswd passt für die meisten Fälle.
Höher nur mit Bedacht. 12 oder 14 machen jeden Rateversuch deutlich teurer, aber auch jede Prüfung auf deinem Server. Bei Basic Auth schickt der Browser die Zugangsdaten mit jeder Anfrage mit; prüft der Server den Hash dabei jedes Mal, summiert sich ein hoher Cost auf Seiten mit vielen Dateien spürbar.
5 und 8 nur für Tests. Für eine produktive .htpasswd sind sie zu schnell.
Test vs. Produktion. Wie lange die Berechnung hier im Browser dauert, sagt wenig über deinen Server. Wähle den Faktor so, dass er auf deiner Zielhardware noch komfortabel ist.

bcrypt oder APR1-MD5 — und wohin mit Argon2

In die .htpasswd gehört bcrypt. Es ist die Vorgabe des Tools und entspricht htpasswd -B. Der Generator schreibt das Präfix $2y$ , so wie htpasswd -B es tut.
APR1-MD5 nur als Notlösung. Laut Hinweis im Tool funktioniert es überall, ist aber schwach (1.000 MD5-Runden). Nimm es nur, wenn dein Server bcrypt nicht versteht — etwa ein nginx, dessen System-crypt() kein bcrypt kann.
72 Byte sind bei bcrypt Schluss. Längere Passwörter schneidet bcrypt ab; das Tool warnt dich. Das 24-stellige Passwort aus Generate liegt weit darunter.
Passwörter für Anwendungen gehören nicht in diesen Reiter. Willst du Passwörter in einer Datenbank speichern, brauchst du bcrypt, Argon2id oder PBKDF2 im Format deiner Plattform — das erzeugt und prüft der Hash-Generator.
Salt ist immer dabei. Das Tool erzeugt für jeden Hash ein eigenes zufälliges Salt. Dasselbe Passwort ergibt deshalb bei jedem Klick eine andere Zeile — das ist korrekt und gewollt.

TOTP-Sicherheit

Das Secret ist der Schlüssel zum Königreich. Wer das Base32-Secret besitzt, kann jederzeit gültige Codes erzeugen. Behandle es wie ein Passwort: sicher übertragen, nicht in Klartext-Logs, nach der Einrichtung sicher verwahren oder löschen. Pluspunkt hier: Secret und Codes entstehen vollständig in deinem Browser und werden nie an einen Server gesendet.
Zeit muss stimmen. TOTP hängt an der Uhr. Weicht die Zeit deines Servers oder Geräts stark ab, passen die Codes nicht. Die Infokarten Epoch (UTC) und Iteration (T) helfen beim Debuggen einer Zeitabweichung.
30 Sekunden ist Standard. Fast alle Dienste erwarten 30 seconds. Wähle 60 seconds nur, wenn die Gegenseite das ausdrücklich verlangt — sonst akzeptiert die App die Codes nicht.
SHA-1 und sechs Stellen sind die sichere Wahl. Das Tool bietet auch SHA-256, SHA-512 und acht Stellen an, warnt aber selbst: Viele Apps, etwa Google Authenticator, können nur SHA-1 mit sechs Stellen. Stell die Werte nur um, wenn dein Dienst sie verlangt — und klick nach einem Algorithmuswechsel Generate, damit das Secret die passende Länge bekommt.
Erst prüfen, dann scharf schalten. Bevor du 2FA für ein echtes Konto aktivierst, tipp den Code aus deiner App in Check a code ein. ✓ valid now bestätigt, dass App und Secret zusammenpassen.
Sichere den QR/das Secret als Backup. Verlierst du den Zugriff auf den Authenticator, brauchst du das Secret zur Wiederherstellung. Save QR Code oder das kopierte Secret an einem sicheren Ort ist dein Notnagel.

Wo Hashes und Codes verifiziert werden

.htpasswd-Zeilen prüft der Webserver selbst, sobald jemand das geschützte Verzeichnis aufruft. Der Generator prüft sie nicht; ein falsch kopiertes Zeichen merkst du erst beim Login.
bcrypt, Argon2id und PBKDF2 für Anwendungen prüft deine Anwendung beim Login — oder du testest einen vorhandenen Hash im Hash-Generator, der eine Prüffunktion mitbringt.
TOTP prüft der Dienst, bei dem du das Secret hinterlegt hast. Im Generator kannst du vorab mit Check a code gegenprüfen.

WLAN-QR auch für ein bestehendes Netz

Der Wi-Fi-QR-Code funktioniert nicht nur mit frisch erzeugten Schlüsseln. Das Ergebnisfeld im Reiter WLAN ist editierbar: Ersetze den Text darin durch deinen vorhandenen Schlüssel und trag die SSID ein. Der QR-Code wird bei jeder Änderung von SSID, Security, Hidden oder Schlüssel aus dem aktuellen Feldinhalt neu gebaut. Den gespeicherten wifi-qr.png solltest du wie ein Passwort behandeln: Wer ihn scannt, sieht den Schlüssel im Klartext.

Text-API im Skript

Server statt Browser. Über die Text-API (z. B. /tools/generator/pw/32/) erzeugt der Server die Werte und schickt sie über HTTPS. Für Geheimnisse, die nie ein fremdes System berühren sollen, nimm die Seite — dort entsteht alles lokal.
Bei wpx reichen die Vorgaben. Ohne Parameter liefert die API dasselbe wie die Oberfläche: keine Rotation, nur die Server-Adresse. rotation, ip=1 oder ua=1 gibst du nur an, wenn du die Abmelde-Nebenwirkungen bewusst in Kauf nimmst.
Rate-Limit einplanen. Mehr als 120 Abrufe pro Minute und IP beantwortet der Server mit HTTP 429; der Header Retry-After nennt die Wartezeit.

Mit anderen JPKCom-Tools kombinieren

Passwort-Hash oder Prüfsumme? Beides liefert der Hash-Generator: Prüfsummen für Texte und Dateien und, in einem eigenen Bereich, bcrypt-, Argon2id- und PBKDF2-Hashes samt Prüfung. Faustregel: Zufallswerte, .htpasswd-Zeilen und TOTP → Generator; Passwort-Hashes für Anwendungen und Daten-Fingerabdrücke → Hash-Generator.
Geheimnis verschlüsseln statt hashen? Soll ein Wert wieder entschlüsselbar sein (Hashing ist es nicht), nutze den Cryptor für symmetrische Ver-/Entschlüsselung von Texten und Dateien.
Zertifikate und Schlüssel prüfen. Hast du mit den hier erzeugten Geheimnissen eine TLS-/Auth-Infrastruktur aufgebaut, kannst du die zugehörigen X.509-Zertifikate und CSRs mit dem PKI Viewer untersuchen.
Eindeutige ID statt Geheimnis. Brauchst du keinen geheimen Schlüssel, sondern einen eindeutigen Bezeichner (etwa als Datenbank-Key), liefert der UUID-Generator das passende Format.

Noch mehr Kontext: die Übersicht zum großen Bild, das Manual für jeden Parameter und die Beispiele für die Schritt-für-Schritt-Abläufe. Ausprobieren kannst du alles direkt im Tool.