Generátor a ověřovač HMAC

HMAC (Hash-based Message Authentication Code) je klíčovaná kryptografická konstrukce, která kombinuje tajný klíč se zprávou prostřednictvím hashovací funkce, jako je SHA-256. Na rozdíl od prostého hashe, který může kdokoli přepočítat pouze ze zprávy, může HMAC reprodukovat pouze někdo, kdo má stejný tajný klíč – to je to, co z něj dělá ověřovací kód spíše než jen kontrolní součet.

To je zásadní rozdíl od prostého přehledu: náš vlastní nástroj Hash Generator počítá nezaklíčované hashe jako MD5 nebo SHA-256, které jsou skvělé pro detekci náhodného poškození, ale nedokazují nic o tom, kdo data vytvořil, protože stejný hash může vygenerovat kdokoli. HMAC prokazuje jak integritu (zpráva nebyla změněna), tak autentičnost (podepisující znal sdílené tajemství), a proto je HMAC standardním stavebním kamenem podepisování požadavků API, algoritmů JWT HS256/HS384/HS512 a ověřování záznamů TLS.

Nejběžnějším případem použití v reálném světě je ověřování podpisů webhooku. Služby jako Stripe, GitHub a Shopify podepisují každý obsah webhooku pomocí HMAC-SHA256 pomocí tajného klíče, který nakonfigurujete, a výsledný podpis pošlou v záhlaví požadavku. Očekává se, že váš server přepočítá HMAC přes nezpracovanou datovou část se stejným tajemstvím a porovná ji s hodnotou hlavičky – pokud se shodují, víte, že požadavek skutečně přišel z této služby a nebyl zfalšován při přenosu. Režim ověření tohoto nástroje přesně reprodukuje tuto kontrolu: vložte datovou část, sdílený tajný klíč a přijatý podpis a získejte okamžitou shodu nebo neshodu.

Vše běží lokálně přes nativní Web Crypto API prohlížeče (crypto.subtle.importKey a crypto.subtle.sign), takže tajný klíč, tělo zprávy a výsledný podpis nikdy neopustí váš počítač – nic se nenahrává na žádný server, na čemž záleží, protože tajemství HMAC je přesně ten druh hodnoty, který byste nikdy neměli vkládat do náhodného online nástroje, který by to mohl zaznamenat.