HMAC-Generator und Verifizierer
Generieren und überprüfen Sie HMAC-Nachrichtenauthentifizierungscodes mit SHA-256, SHA-384, SHA-512 oder SHA-1 mithilfe eines geheimen Schlüssels, vollständig in Ihrem Browser.
Ergebnis
Ein HMAC (Hash-based Message Authentication Code) ist eine verschlüsselte kryptografische Konstruktion, die einen geheimen Schlüssel mit einer Nachricht über eine Hash-Funktion wie SHA-256 kombiniert. Im Gegensatz zu einem einfachen Hash, den jeder allein aus der Nachricht neu berechnen kann, kann ein HMAC nur von jemandem reproduziert werden, der denselben geheimen Schlüssel besitzt – das macht ihn zu einem Authentifizierungscode und nicht nur zu einer Prüfsumme.
Dies ist der grundlegende Unterschied zu einem einfachen Digest: Unser eigenes Hash-Generator-Tool berechnet nicht verschlüsselte Hashes wie MD5 oder SHA-256, die sich hervorragend zur Erkennung versehentlicher Korruption eignen, aber nichts darüber beweisen, wer die Daten erstellt hat, da jeder denselben Hash generieren kann. Ein HMAC beweist sowohl die Integrität (die Nachricht wurde nicht verändert) als auch die Authentizität (der Unterzeichner kannte das gemeinsame Geheimnis), weshalb HMAC der Standardbaustein hinter der API-Anforderungssignierung, den HS256/HS384/HS512-Algorithmen von JWT und der TLS-Datensatzauthentifizierung ist.
Der häufigste Anwendungsfall in der Praxis ist die Überprüfung von Webhook-Signaturen. Dienste wie Stripe, GitHub und Shopify signieren jede Webhook-Nutzlast mit HMAC-SHA256 mithilfe eines von Ihnen konfigurierten Geheimnisses und senden die resultierende Signatur in einem Anforderungsheader. Von Ihrem Server wird erwartet, dass er den HMAC über die Rohnutzlast mit demselben Geheimnis neu berechnet und ihn mit dem Header-Wert vergleicht. Wenn sie übereinstimmen, wissen Sie, dass die Anfrage tatsächlich von diesem Dienst stammt und während der Übertragung nicht manipuliert wurde. Der Verifizierungsmodus dieses Tools reproduziert genau diese Prüfung: Fügen Sie die Nutzdaten, das gemeinsame Geheimnis und die empfangene Signatur ein und erhalten Sie sofort eine Übereinstimmung oder Nichtübereinstimmung.
Alles läuft lokal über die native Web-Crypto-API des Browsers (crypto.subtle.importKey und crypto.subtle.sign), sodass der geheime Schlüssel, der Nachrichtentext und die resultierende Signatur niemals Ihren Computer verlassen – nichts wird auf einen Server hochgeladen, was wichtig ist, da HMAC-Geheimnisse genau die Art von Wert sind, die Sie niemals in ein beliebiges Online-Tool einfügen sollten, das sie protokollieren könnte.
Ihre Dateien und Eingaben verlassen dieses Gerät nie. Die Verarbeitung läuft vollständig offline. 100 % sicher.
Akzeptierte Formate & Regeln
- Signieren Sie Texte oder Dateien mit HMAC-SHA256, HMAC-SHA384, HMAC-SHA512 oder HMAC-SHA1.
- Akzeptiert den geheimen Schlüssel als UTF-8-Text, Hex oder Base64 und gibt die Signatur als Hex oder Base64 aus.
- Der Überprüfungsmodus vergleicht eine bereitgestellte Signatur mit der berechneten mit einem eindeutigen Übereinstimmungs-/Nichtübereinstimmungsindikator.
Wichtigste Vorteile
Anwendungsfälle
- • Überprüfen Sie einen eingehenden Webhook: Fügen Sie die Rohnutzlast, das gemeinsame Geheimnis und die Signatur aus dem Anforderungsheader (z. B. „Stripe-Signature“ von Stripe, „X-Hub-Signature-256“ von GitHub) in den Verifizierungsmodus ein, um zu bestätigen, dass die Anforderung während der Übertragung nicht gefälscht oder verändert wurde.
- • Signieren Sie API-Anfragen, die eine HMAC-Authentifizierung erfordern, indem Sie vor dem Senden den HMAC-SHA256 (oder SHA-1/384/512) einer kanonischen Anforderungszeichenfolge mit Ihrem API-Geheimnis berechnen.
- • Generieren Sie eine manipulationssichere Signatur für eine Konfigurationsdatei oder ein Lizenztoken: HMAC den Dateiinhalt mit einem Geheimnis, das nur Ihre App kennt, und senden Sie dann die Signatur zusammen, damit jede Änderung erkennbar ist.
Bewerten Sie dieses Tool
