⭐ 0
🔍
Text Bild PDF och dokument Ljud Musik Elektronik Tid Verktyg Validatorer Esoterik Spel

HMAC-generator och -verifierare

Generera och verifiera HMAC-meddelandeautentiseringskoder med SHA-256, SHA-384, SHA-512 eller SHA-1 och en hemlig nyckel, helt i din webbläsare.

🔒 Bearbetas helt i din webbläsare – ingenting du anger här laddas någonsin upp.

Bearbetar... 0%
Importerar nyckel
Beräknar HMAC
Klar

Resultat

En HMAC (Hash-based Message Authentication Code) är en nyckelbaserad kryptografisk konstruktion som kombinerar en hemlig nyckel med ett meddelande genom en hashfunktion som SHA-256. Till skillnad från en vanlig hash, som vem som helst kan räkna ut enbart från meddelandet, kan en HMAC bara reproduceras av någon som har samma hemliga nyckel – det är det som gör den till en autentiseringskod och inte bara en kontrollsumma.

Detta är den grundläggande skillnaden mot ett vanligt hashvärde: vårt eget Hash Generator-verktyg beräknar icke-nyckelbaserade hashvärden som MD5 eller SHA-256, vilka är utmärkta för att upptäcka oavsiktliga fel men inte bevisar något om vem som skapade datat, eftersom vem som helst kan generera samma hash. En HMAC bevisar både integritet (meddelandet har inte ändrats) och autenticitet (undertecknaren kände den delade hemligheten), vilket är anledningen till att HMAC är den vanliga byggstenen bakom signering av API-förfrågningar, JWT:s HS256/HS384/HS512-algoritmer och TLS-postautentisering.

Det vanligaste användningsfallet i verkligheten är verifiering av webhook-signaturer. Tjänster som Stripe, GitHub och Shopify signerar varje webhook-payload med HMAC-SHA256 med hjälp av en hemlighet du konfigurerar och skickar den resulterande signaturen i en förfrågningsheader. Din server förväntas räkna ut HMAC över den råa payloaden med samma hemlighet och jämföra den med huvudets värde – om de matchar vet du att förfrågan verkligen kom från den tjänsten och inte manipulerades under överföringen. Verktygets verifieringsläge återskapar exakt den kontrollen: klistra in payloaden, den delade hemligheten och den mottagna signaturen så får du direkt besked om matchning eller ej.

Allt körs lokalt via webbläsarens inbyggda Web Crypto API (crypto.subtle.importKey och crypto.subtle.sign), så den hemliga nyckeln, meddelandeinnehållet och den resulterande signaturen lämnar aldrig din maskin – inget laddas upp till någon server, vilket är viktigt eftersom HMAC-hemligheter är exakt den typ av värde du aldrig ska klistra in i ett slumpmässigt onlineverktyg som kan logga det.

Gillar du det här verktyget? Tror du att den här produkten är användbar? Ser du potential i det och vill stödja det?

🛡️
Körs i webbläsare

Dina filer och indata lämnar aldrig den här enheten. Bearbetningen körs helt offline. 100 % säker.

Godkända format och regler

  • Signera text eller filer med HMAC-SHA256, HMAC-SHA384, HMAC-SHA512 eller HMAC-SHA1.
  • Tar den hemliga nyckeln som UTF-8-text, hex eller Base64 och ger signaturen som hex eller Base64.
  • Verifieringsläget jämför en angiven signatur med den beräknade och visar en tydlig indikator för matchning/icke-matchning.

Viktiga fördelar

✓ Riktig nyckelbaserad kryptografi: använder crypto.subtle.importKey och crypto.subtle.sign, inte en hash-liknande imitation – utsignalen beror genuint på din hemliga nyckel.
✓ Ett särskilt verifieringsläge: klistra in en mottagen signatur och få en omedelbar indikator på om den matchar, perfekt för att kontrollera webhook-payloads från Stripe, GitHub eller någon annan leverantör.
✓ Jämförelse med konstant tidsåtgång: signaturer jämförs byte för byte över hela sin längd istället för att avbryta direkt, vilket undviker en naiv tidtagarläcka.
✓ Ingenting lämnar din enhet: den hemliga nyckeln, meddelandet och den beräknade signaturen laddas aldrig upp eller skickas någonstans.

Användningsfall

  • • Verifiera en inkommande webhook: klistra in den råa nyttolasten, den delade hemligheten och signaturen från request-huvudet (t.ex. Stripes `Stripe-Signature`, GitHubs `X-Hub-Signature-256`) i verifieringsläget för att bekräfta att förfrågan inte har förfalskats eller ändrats under överföringen.
  • • Signera API-anrop som kräver HMAC-autentisering genom att beräkna HMAC-SHA256 (eller SHA-1/384/512) av en kanonisk request-sträng med din API-hemlighet innan du skickar den.
  • • Skapa en manipuleringssäker signatur för en konfigurationsfil eller licenstoken: HMAC-beräkna filinnehållet med en hemlighet som bara din app känner till och skicka sedan signaturen tillsammans med den så att varje redigering kan upptäckas.