Generador de Token Seguro

La longitud se da en bytes, de 1 a 512 (32 por defecto). 16 bytes (128 bits) ya son impredecibles en la práctica; 32 bytes (256 bits) es la elección habitual para claves de API, secretos de firma y tokens de sesión.

Hexadecimal usa 2 caracteres por byte (32 bytes dan 64 caracteres) y es lo más legible. Base64 es más compacto (32 bytes dan 44 caracteres), y la variante segura para URL (43 caracteres, sin =, con - y _) es la que puedes usar en una dirección web o un nombre de archivo.

Sí. Se generan con crypto.getRandomValues, el generador criptográficamente seguro del navegador, y no con Math.random, que es predecible y no debe usarse para secretos.

Una contraseña está pensada para que una persona la recuerde o la escriba; un token es para que lo lean máquinas, y prioriza la entropía máxima. Un UUID es un identificador (no un secreto) de formato fijo. Para un secreto, usa el token.

En un gestor de secretos o en variables de entorno del servidor, nunca en el código fuente ni en un repositorio. La herramienta no guarda nada: si cierras la página sin copiarlo, se pierde. Cada vez que pulsas generar, obtienes uno distinto.

Sí: para HMAC SHA-256 se recomienda una clave de al menos 32 bytes aleatorios. Genera el token en hexadecimal o Base64 y úsalo como tu secreto de firma; guárdalo con las mismas precauciones que una contraseña.