So nutzt du: PKCE Generator
- A code verifier and its S256 challenge are generated right away; click Generate new for another pair, or paste your own verifier to see its challenge.
- Fill in your provider’s authorization and token endpoints,
client_id,redirect_uriandscope. - Open the authorization URL, sign in, and copy the
codefrom the redirect. - Run the token request (curl) with that code — the verifier proves you started the login.
How PKCE protects the login
PKCE (Proof Key for Code Exchange, RFC 7636) stops a stolen authorization code from being used by anyone else. The app creates a random secret — the code verifier — and sends only its hash, the code challenge, with the login request. When it exchanges the returned code for tokens, it sends the verifier itself; the server hashes it and checks that it matches. An attacker who intercepts the code doesn’t have the verifier.
- The verifier is 43–128 characters from
A–Z a–z 0–9 - . _ ~. - S256:
code_challenge = BASE64URL(SHA256(code_verifier)), without padding. - OAuth 2.1 requires PKCE for every client, including server-side apps — not just mobile and single-page apps.
stateprotects against CSRF;nonceties an OpenID Connect ID token to this login.
Decode the tokens you get back with the JWT Decoder, or try the token call in the API Tester.
Auch gesucht als: code verifier generator, code challenge generator, pkce code challenge, oauth pkce, oauth2 pkce example, s256 code challenge, pkce online.
Passende Tools zu: PKCE Generator
- JWT Encoder — Build a JWT for testing APIs: edit the payload, add standard claims with one click and sign it with an HMAC secret or an RSA / EC private key.
- Hash Generator — Compute MD5 and SHA hashes of any text or file instantly, create HMAC signatures, and paste an expected checksum to verify a download.
- Base64-Kodierung / -Dekodierung — Konvertiere Text in Base64 und zurück – mit vollständiger UTF-8-Unterstützung (Akzente, Emojis), wechsle zu URL-sicheren Base64-Werten oder zieh eine Datei per Drag & Drop hinein, um deren Base64-Zeichenkette oder Daten-URI zu erhalten.
- Passwortgenerator — Erstelle sichere, wirklich zufällige Passwörter oder leicht einzutippende Passphrasen – mit erweiterten Regeln: Wörter ein- oder ausschließen, Zeichen vorschreiben, zulässige Symbole auswählen, Wiederholungen und Sequenzen vermeiden.
Häufige Fragen
How is the PKCE code challenge calculated?
Take the SHA-256 hash of the code verifier (as ASCII bytes) and encode it with base64url without = padding. That is the S256 method this tool uses.
How long should the code verifier be?
Between 43 and 128 characters. 43 characters of random base64url text carry 256 bits of randomness, which is plenty; longer is fine too.
Should I use S256 or plain?
Always S256. plain sends the verifier itself as the challenge, which protects nothing if the request is seen; it exists only for clients that can’t compute SHA-256.
Are the values sent anywhere?
No. They are generated with the browser’s crypto API and only leave the page if you copy them or open the authorization URL.
Kann ich PKCE Generator als Web-App installieren und offline nutzen?
Ja. PKCE Generator ist eine installierbare Web-App (PWA) – sie wird über Ihren Browser installiert und nicht aus einem App-Store heruntergeladen. Klicken Sie oben auf dieser Seite in Chrome oder Edge (Windows, macOS, Linux, ChromeOS) auf „App installieren“ oder verwenden Sie auf Android-Geräten „Teilen“ → „Zum Startbildschirm hinzufügen“ auf dem iPhone und iPad bzw. „Datei“ → „Zum Dock hinzufügen“ in Safari 17+ auf einem Mac. Die App öffnet sich dann in einem eigenen Fenster mit einem eigenen Symbol, und da sie vollständig in Ihrem Browser ausgeführt wird, funktioniert sie auch offline. Firefox auf dem Desktop kann keine Web-Apps installieren. So funktioniert die Installation.