Kostenlose Online-Tools, die in deinem Browser laufen

PKCE code_verifier und code_challenge erzeugen

code_verifier erzeugen oder einfügen und die S256-code_challenge für OAuth 2.0 PKCE (RFC 7636) erhalten.

code_challenge (S256)

Läuft vollständig in deinem Browser. Eingaben werden weder gesendet noch gespeichert.

So funktioniert es

  1. Auf Erzeugen klicken oder einen code_verifier einfügen.
  2. Die code_challenge wird als BASE64URL(SHA-256(code_verifier)) berechnet.
  3. code_challenge und code_challenge_method=S256 in der Autorisierungsanfrage senden.
  4. Den code_verifier in der Token-Anfrage senden.

Häufige Fragen

Was ist PKCE?

Proof Key for Code Exchange (RFC 7636). Der Client sendet bei der Autorisierung eine gehashte code_challenge und beim Token-Abruf den ursprünglichen code_verifier, sodass ein gestohlener Autorisierungscode allein nicht reicht.

Wie wird die code_challenge berechnet?

Bei S256: SHA-256 des code_verifier (ASCII), dann base64url ohne Padding. Für das RFC-7636-Beispiel dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk ergibt sich E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM.

Warum hat der erzeugte Verifier 43 Zeichen?

32 Zufallsbytes als base64url ohne Padding sind 43 Zeichen, die Mindestlänge laut RFC 7636 (43 bis 128 Zeichen aus A-Z, a-z, 0-9, -, ., _, ~).

Ähnliche Tools

Passwort-GeneratorZufällige Passwörter und Zeichenketten