HMAC generátor a ověřovač

HMAC (Hash-based Message Authentication Code) je kryptografická konstrukce s klíčem, která kombinuje tajný klíč se zprávou prostřednictvím hašovací funkce, jako je SHA-256. Na rozdíl od prostého hashe, který může kdokoli spočítat jen ze zprávy, lze HMAC reprodukovat pouze pokud znáte stejný tajný klíč – právě to z něj dělá autentizační kód, nikoli pouhý kontrolní součet.

To je zásadní rozdíl oproti běžnému otisku: náš vlastní nástroj Hash Generator počítá hashe bez klíče, jako MD5 nebo SHA-256, které jsou skvělé pro odhalení náhodného poškození, ale nevypovídají nic o tom, kdo data vytvořil, protože stejný hash může vygenerovat každý. HMAC prokazuje jak integritu (zpráva nebyla změněna), tak autentičnost (podepisující znal sdílený tajný klíč), a proto je HMAC standardním stavebním kamenem podepisování API požadavků, algoritmů HS256/HS384/HS512 v JWT a autentizace záznamů v TLS.

Nejběžnějším reálným případem užití je ověřování podpisů webhooků. Služby jako Stripe, GitHub a Shopify podepisují každý webhookový payload pomocí HMAC-SHA256 s vámi nastaveným tajemstvím a výsledný podpis odesílají v hlavičce požadavku. Od vašeho serveru se očekává, že znovu vypočítá HMAC nad surovým payloadem se stejným tajemstvím a porovná ho s hodnotou z hlavičky – pokud se shodují, víte, že požadavek skutečně pochází od dané služby a nebyl během přenosu změněn. Ověřovací režim tohoto nástroje provádí přesně tuto kontrolu: vložte payload, sdílený tajný klíč a přijatý podpis a okamžitě uvidíte shodu či neshodu.

Vše běží lokálně prostřednictvím nativního Web Crypto API prohlížeče (crypto.subtle.importKey a crypto.subtle.sign), takže tajný klíč, tělo zprávy i výsledný podpis nikdy neopustí váš počítač – nic se nenahrává na žádný server, což je důležité, protože HMAC tajemství jsou přesně tím druhem hodnoty, který byste nikdy neměli vkládat do náhodného online nástroje, který by je mohl zaznamenat.