HMAC генератор и верификатор

HMAC (Hash-based Message Authentication Code) је криптографска конструкција са кључем која комбинује тајни кључ са поруком кроз хеш функцију као што је SHA-256. За разлику од обичног хеша, који свако може поново да израчуна само на основу поруке, HMAC може да репродукује само неко ко поседује исти тајни кључ — управо то га чини кодом за аутентикацију, а не само контролном сумом.

Ово је основна разлика у односу на обичан дигест: наш алат за генерисање хешева израчунава хешеве без кључа као што су MD5 или SHA-256, који су одлични за откривање случајних оштећења, али не доказују ништа о томе ко је направио податке, јер свако може да генерише исти хеш. HMAC доказује и интегритет (порука није измењена) и аутентичност (пошиљалац је знао дељену тајну), због чега је HMAC стандардни градивни елемент за потписивање API захтева, HS256/HS384/HS512 алгоритме у JWT-у и аутентикацију записа у TLS-у.

Најчешћи пример из праксе је верификација webhook потписа. Сервиси као што су Stripe, GitHub и Shopify потписују сваки webhook податак помоћу HMAC-SHA256 користећи тајну коју ви конфигуришете и шаљу резултујући потпис у заглављу захтева. Од вашег сервера се очекује да поново израчуна HMAC над сировим подацима са истом тајном и упореди га са вредношћу из заглавља — ако се поклапају, знате да је захтев заиста дошао од тог сервиса и да није измењен у преносу. Режим верификације овог алата управо репродукује ту проверу: налепите податке, дељену тајну и примљени потпис и одмах добијте информацију о поклапању или непоклапању.

Све се извршава локално преко изворног Web Crypto API-ја прегледача (crypto.subtle.importKey и crypto.subtle.sign), тако да тајни кључ, тело поруке и резултујући потпис никада не напуштају ваш рачунар — ништа се не отпрема ни на један сервер, што је битно јер су HMAC тајне управо врста вредности коју никада не би требало да лепите у насумични онлајн алат који би могао да их евидентира.