Cara menggunakan Generator PKCE
- Code verifier dan S256 challenge-nya langsung dibuat; klik Buat baru untuk pasangan lain, atau tempel verifier sendiri untuk melihat challenge-nya.
- Isi endpoint otorisasi dan token provider kamu,
client_id,redirect_uri, danscope. - Buka URL otorisasi, login, lalu salin
codedari redirect. - Jalankan request token (curl) dengan code tersebut. Verifier membuktikan bahwa kamu yang memulai login.
Cara PKCE melindungi proses login
PKCE (Proof Key for Code Exchange, RFC 7636) mencegah authorization code yang dicuri dipakai orang lain. Aplikasi membuat rahasia acak, yaitu code verifier, dan hanya mengirimkan hash-nya, yaitu code challenge, bersama request login. Saat menukar code yang diterima dengan token, aplikasi mengirimkan verifier aslinya. Server lalu melakukan hash pada verifier tersebut dan memeriksa apakah hasilnya cocok. Penyerang yang berhasil mencegat code tidak memiliki verifier-nya.
- Verifier terdiri dari 43–128 karakter dari
A–Z a–z 0–9 - . _ ~. - S256:
code_challenge = BASE64URL(SHA256(code_verifier)), tanpa padding. - OAuth 2.1 mewajibkan PKCE untuk setiap client, termasuk aplikasi server-side, tidak hanya aplikasi mobile dan single-page.
statemelindungi dari CSRF;noncemengaitkan ID token OpenID Connect dengan login ini.
Decode token yang kamu terima dengan JWT Decoder, atau coba panggilan token di API Tester.
Juga dicari sebagai: code verifier generator, code challenge generator, pkce code challenge, oauth pkce, contoh oauth2 pkce, s256 code challenge, pkce online.
Tool yang cocok dipakai bersama Generator PKCE
- Encoder JWT — Susun JWT untuk menguji API: edit payload, tambahkan klaim standar dengan satu klik, lalu tandatangani dengan secret HMAC atau kunci privat RSA / EC.
- Generator Hash — Hitung hash MD5 dan SHA dari teks atau file apa pun secara instan, buat tanda tangan HMAC, dan tempel checksum yang diharapkan untuk memverifikasi unduhan.
- Encode / Decode Base64 — Ubah teks ke Base64 dan sebaliknya dengan dukungan UTF-8 penuh (aksen, emoji), beralih ke Base64 URL-safe, atau seret file untuk mendapatkan string Base64 atau data URI-nya.
- Generator Kata Sandi — Buat kata sandi yang kuat dan benar-benar acak, atau frasa sandi yang mudah diketik, dengan aturan lanjutan: sertakan atau kecualikan kata, wajibkan karakter tertentu, pilih simbol yang diizinkan, dan hindari pengulangan serta urutan.
Pertanyaan yang sering diajukan
Bagaimana code challenge PKCE dihitung?
Ambil hash SHA-256 dari code verifier (sebagai byte ASCII), lalu encode dengan base64url tanpa padding =. Itulah metode S256 yang dipakai tool ini.
Berapa panjang code verifier yang ideal?
Antara 43 dan 128 karakter. 43 karakter teks base64url acak sudah membawa 256 bit keacakan, dan itu sudah cukup. Versi yang lebih panjang juga boleh.
Sebaiknya pakai S256 atau plain?
Selalu gunakan S256. plain mengirimkan verifier itu sendiri sebagai challenge, sehingga tidak melindungi apa pun jika request terlihat. Metode ini hanya ada untuk client yang tidak bisa menghitung SHA-256.
Apakah nilainya dikirim ke suatu tempat?
Tidak. Nilainya dibuat dengan crypto API browser dan hanya keluar dari halaman jika kamu menyalinnya atau membuka URL otorisasi.
Bisakah saya memasang Generator PKCE sebagai aplikasi web dan memakainya offline?
Bisa. Generator PKCE adalah aplikasi web (PWA) yang bisa dipasang. Pemasangannya lewat browser kamu, bukan diunduh dari toko aplikasi. Klik Pasang aplikasi di bagian atas halaman ini di Chrome atau Edge (Windows, macOS, Linux, ChromeOS) atau di Android. Di iPhone dan iPad, gunakan Bagikan → Tambahkan ke Layar Utama, dan di Safari 17+ pada Mac, gunakan File → Tambahkan ke Dock. Setelah itu, aplikasi akan terbuka di jendelanya sendiri dengan ikonnya sendiri. Karena berjalan sepenuhnya di browser kamu, aplikasi ini tetap bisa dipakai offline. Firefox di desktop tidak bisa memasang aplikasi web. Cara memasang aplikasi.