HMAC-Generator

Ein SHA-256-Hash von "hello" ist immer gleich: jeder kann ihn berechnen. Ein HMAC-SHA256 von "hello" erzeugt fuer jeden geheimen Schluessel ein anderes Ergebnis. Einfaches Hashing gibt Integritaet (erkennt Manipulation). HMAC gibt Integritaet plus Authentifizierung (beweist wer signiert hat). Deshalb verwenden APIs HMAC fuer die Anfragesignierung, nicht einfaches SHA-256.

HMAC-SHA256 ist der Industriestandard und was die meisten Dienste verwenden: AWS Signature Version 4, Stripe-Webhooks, GitHub-Webhooks, Shopify-Webhooks. HMAC-SHA512 bietet zusaetzlichen Sicherheitsspielraum und ist auf 64-Bit-Hardware schneller als SHA-256. Vermeiden Sie HMAC-SHA1 fuer neue Projekte; verwenden Sie es nur bei der Integration mit Legacy-Systemen, die es benoetigen.

Beide repraesentieren denselben HMAC-Wert in unterschiedlichen Kodierungen. Hex (hexadezimal) erzeugt 64 Zeichen fuer HMAC-SHA256, einfacher manuell zu lesen und zu vergleichen. Base64 erzeugt 44 Zeichen, kompakter, haeufig in HTTP-Authorization-Headern, JWT-Signaturen und API-Anfrage-Headern verwendet. Pruefen Sie, welches Format Ihr Zieldienst erwartet, bevor Sie generieren.

Wenn Sie einen Webhook von Stripe empfangen, kommt der Payload mit einem X-Stripe-Signature-Header, der einen HMAC-SHA256 des Rohkoerpers enthaelt, signiert mit dem geheimen Schluessel Ihres Endpunkts. Zur Verifizierung: berechnen Sie den HMAC-SHA256 des Roh-Anfragekörpers mit Ihrem Geheimnis, dann vergleichen Sie mit dem Header-Wert. Stimmen sie ueberein, ist der Webhook echt. GitHub verwendet X-Hub-Signature-256 auf dieselbe Weise. Dieses Tool laesst Sie diese Signaturen berechnen und verifizieren, ohne Code zu schreiben.

Fuer HMAC-SHA256 ist die empfohlene Schluesselllaenge mindestens 32 Bytes (256 Bit), entsprechend der Hash-Ausgabegrösse. Kuerzere Schluessel reduzieren die Sicherheit; laengere sind in Ordnung. Verwenden Sie niemals vom Menschen merkbare Zeichenketten als Schluessel, sie sind zu vorhersehbar. Generieren Sie Schluessel mit einem kryptographisch sicheren RNG und speichern Sie sie in Umgebungsvariablen oder einem Secrets-Manager, niemals im Quellcode.

Generieren Sie einen HMAC, dann fuegen Sie einen erwarteten HMAC-Wert in das Vergleichsfeld ein. Das Tool vergleicht die beiden Werte und meldet, ob sie uebereinstimmen. Nuetzlich zur Verifizierung von Webhook-Signaturen: berechnen Sie den erwarteten HMAC aus dem empfangenen Payload und Ihrem Schluessel, dann vergleichen Sie mit der Signatur im Anfrage-Header. Eine Uebereinstimmung bestaetigt, dass der Webhook echt ist.

Nie. Alle HMAC-Generierung verwendet die Web Crypto API (window.crypto.subtle.sign), die vollstaendig in Ihrem Browser laeuft. Ihr Schluessel, Ihre Nachricht und Ihre HMAC-Ausgabe werden nie an einen Server uebertragen. Sie koennen sich vom Internet trennen und das Tool funktioniert identisch.