HMAC Generator i Verifikator

HMAC (Hash-based Message Authentication Code) je kriptografska konstrukcija s ključem koja kombinira tajni ključ s porukom kroz hash funkciju poput SHA-256. Za razliku od običnog hasha, koji svatko može ponovno izračunati samo iz poruke, HMAC može reproducirati samo onaj tko posjeduje isti tajni ključ — upravo to ga čini autentifikacijskim kodom, a ne tek kontrolnim zbrojem.

To je temeljna razlika u odnosu na obični sažetak: naš alat Hash Generator računa hasheve bez ključa poput MD5 ili SHA-256, koji su izvrsni za otkrivanje slučajnog oštećenja, ali ne dokazuju ništa o tome tko je proizveo podatke, budući da svatko može generirati isti hash. HMAC dokazuje i integritet (poruka nije izmijenjena) i autentičnost (potpisnik je znao dijeljenu tajnu), zbog čega je HMAC standardni gradivni element iza potpisivanja API zahtjeva, JWT-ovih HS256/HS384/HS512 algoritama i autentifikacije TLS zapisa.

Najčešći slučaj upotrebe u stvarnom svijetu je provjera webhook potpisa. Servisi poput Stripea, GitHuba i Shopifyja potpisuju svaki webhook sadržaj s HMAC-SHA256 koristeći tajnu koju konfigurirate i šalju rezultirajući potpis u zaglavlju zahtjeva. Od vašeg se poslužitelja očekuje da ponovno izračuna HMAC nad sirovim sadržajem s istom tajnom i usporedi ga s vrijednošću iz zaglavlja — ako se podudaraju, znate da je zahtjev doista došao od tog servisa i da nije mijenjan u prijenosu. Način provjere ovog alata reproducira upravo tu provjeru: zalijepite sadržaj, dijeljenu tajnu i primljeni potpis i odmah dobijte podudaranje ili nepodudaranje.

Sve se izvodi lokalno putem izvornog Web Crypto API-ja preglednika (crypto.subtle.importKey i crypto.subtle.sign), tako da tajni ključ, tijelo poruke i rezultirajući potpis nikada ne napuštaju vaše računalo — ništa se ne učitava na bilo koji poslužitelj, što je važno jer su HMAC tajne upravo one vrijednosti koje nikada ne biste trebali lijepiti u nasumični online alat koji bi ih mogao zabilježiti.