HMAC Generator & Verifikator

En HMAC (Hash-based Message Authentication Code) er en nøglekodet kryptografisk konstruktion, der kombinerer en hemmelig nøgle med en besked gennem en hashfunktion såsom SHA-256. I modsætning til en almindelig hash, som enhver kan genberegne fra beskeden alene, kan en HMAC kun gengives af en person, der har den samme hemmelige nøgle - det er det, der gør det til en godkendelseskode snarere end blot en kontrolsum.

Dette er den grundlæggende forskel fra et almindeligt sammendrag: vores eget Hash Generator-værktøj beregner unøglede hashes som MD5 eller SHA-256, som er gode til at opdage utilsigtet korruption, men beviser intet om, hvem der har produceret dataene, da enhver kan generere den samme hash. En HMAC beviser både integritet (meddelelsen blev ikke ændret) og ægthed (underskriveren kendte den delte hemmelighed), hvilket er grunden til, at HMAC er standardbyggestenen bag API-anmodningssignering, JWT's HS256/HS384/HS512-algoritmer og TLS-postgodkendelse.

Den mest almindelige brugssag i den virkelige verden er at verificere webhook-signaturer. Tjenester som Stripe, GitHub og Shopify signerer hver webhook-nyttelast med HMAC-SHA256 ved hjælp af en hemmelighed, du konfigurerer, og sender den resulterende signatur i en anmodningsheader. Din server forventes at genberegne HMAC'en over den rå nyttelast med den samme hemmelighed og sammenligne den med headerværdien - hvis de matcher, ved du, at anmodningen virkelig kom fra den pågældende tjeneste og ikke blev manipuleret med under transit. Dette værktøjs bekræftelsestilstand gengiver præcis den kontrol: indsæt nyttelasten, den delte hemmelighed og den modtagne signatur, og få et øjeblikkeligt match eller mismatch.

Alt kører lokalt gennem browserens native Web Crypto API (crypto.subtle.importKey og crypto.subtle.sign), så den hemmelige nøgle, beskedteksten og den resulterende signatur forlader aldrig din maskine - intet uploades til nogen server, hvilket betyder noget, da HMAC-hemmeligheder er præcis den slags værdi, du aldrig bør indsætte i et tilfældigt onlineværktøj, der kunne logge det.