Comment utiliser : Générateur PKCE
- Un code verifier et son challenge S256 sont générés immédiatement ; cliquez sur Générer pour obtenir une nouvelle paire, ou collez votre propre verifier pour voir son challenge.
- Renseignez les points de terminaison d’autorisation et de jetons de votre fournisseur, ainsi que
client_id,redirect_urietscope. - Ouvrez l’URL d’autorisation, connectez-vous, puis copiez le
codeprésent dans la redirection. - Exécutez la requête token (curl) avec ce code : le verifier prouve que vous êtes bien à l’origine de la connexion.
Comment PKCE protège la connexion
PKCE (Proof Key for Code Exchange, RFC 7636) empêche qu’un code d’autorisation volé soit utilisé par quelqu’un d’autre. L’application crée un secret aléatoire, le code verifier, et n’envoie que son hash, le code challenge, avec la demande de connexion. Lors de l’échange du code reçu contre des jetons, elle envoie le verifier lui-même ; le serveur le hache et vérifie la correspondance. Un attaquant qui intercepte le code ne possède pas le verifier.
- Le verifier comporte entre 43 et 128 caractères parmi
A–Z a–z 0–9 - . _ ~. - S256 :
code_challenge = BASE64URL(SHA256(code_verifier)), sans padding. - OAuth 2.1 impose PKCE pour tous les clients, y compris les applications serveur, et pas seulement les applications mobiles et monopage.
stateprotège contre les attaques CSRF ;noncelie un ID token OpenID Connect à cette connexion.
Décodez les jetons reçus avec le JWT Decoder, ou testez l’appel token dans l’API Tester.
Aussi recherché comme : code verifier pkce, code challenge pkce, pkce s256, oauth pkce, générateur code challenge, exemple oauth2 pkce, pkce en ligne.
Outils complémentaires : Générateur PKCE
- Encodeur JWT — Créez un JWT pour tester vos API : modifiez la charge utile, ajoutez les claims standard en un clic et signez-le avec un secret HMAC ou une clé privée RSA / EC.
- Générateur de hash — Calculez instantanément les hashs MD5 et SHA de n'importe quel texte ou fichier, créez des signatures HMAC et collez un checksum attendu pour vérifier un téléchargement.
- Encodage / Décodage Base64 — Convertissez du texte au format Base64 et inversement, avec une prise en charge complète de l'UTF-8 (accents, emojis) ; passez au format Base64 compatible URL, ou glissez-déposez un fichier pour obtenir sa chaîne Base64 ou son URI de données.
- Générateur de mots de passe — Créez des mots de passe robustes et véritablement aléatoires ou des phrases de passe faciles à saisir, grâce à des règles avancées : incluez ou excluez des mots, imposez des caractères, choisissez les symboles autorisés, évitez les répétitions et les séquences.
Questions fréquentes
Comment le code challenge PKCE est-il calculé ?
On prend le hash SHA-256 du code verifier (en octets ASCII) et on l’encode en base64url sans padding « = ». C’est la méthode S256 utilisée par cet outil.
Quelle doit être la longueur du code verifier ?
Entre 43 et 128 caractères. 43 caractères base64url aléatoires représentent 256 bits d’entropie, ce qui est largement suffisant ; une longueur supérieure convient aussi.
Faut-il utiliser S256 ou plain ?
Toujours S256. La méthode plain envoie le verifier lui-même comme challenge, ce qui ne protège rien si la requête est interceptée ; elle ne sert qu’aux clients incapables de calculer SHA-256.
Les valeurs sont-elles envoyées quelque part ?
Non. Elles sont générées avec l’API crypto du navigateur et ne quittent la page que si vous les copiez ou ouvrez l’URL d’autorisation.
Puis-je installer Générateur PKCE en tant qu’application web et l’utiliser hors ligne ?
Oui. Générateur PKCE est une application web installable (PWA) : elle s’installe depuis votre navigateur, sans passer par une boutique d’applications. Cliquez sur « Installer l’application » en haut de cette page dans Chrome ou Edge (Windows, macOS, Linux, ChromeOS) ; sur Android, utilisez « Partager » → « Ajouter à l’écran d’accueil » sur iPhone et iPad ; ou « Fichier » → « Ajouter au Dock » dans Safari 17+ sur Mac. L’application s’ouvre alors dans sa propre fenêtre avec sa propre icône, et comme elle s’exécute entièrement dans votre navigateur, elle continue de fonctionner hors ligne. Firefox sur ordinateur de bureau ne permet pas d’installer d’applications web. Comment fonctionne l’installation.