Generador HMAC

Un hash SHA-256 de "hello" es siempre el mismo: cualquiera puede calcularlo. Un HMAC-SHA256 de "hello" produce un resultado diferente para cada clave secreta. El hash simple da integridad (detecta manipulaciones). HMAC da integridad mas autenticacion (prueba quien firmo). Por eso las APIs usan HMAC para firmar solicitudes, no SHA-256 simple.

HMAC-SHA256 es el estandar de la industria y lo que usa la mayoria de servicios: AWS Signature Version 4, webhooks de Stripe, webhooks de GitHub, webhooks de Shopify. HMAC-SHA512 ofrece mayor margen de seguridad y es mas rapido que SHA-256 en hardware de 64 bits. Evita HMAC-SHA1 en proyectos nuevos; usalo solo al integrarte con sistemas heredados que lo requieran.

Ambas representan el mismo valor HMAC en distintas codificaciones. Hex (hexadecimal) produce 64 caracteres para HMAC-SHA256, mas facil de leer y comparar manualmente. Base64 produce 44 caracteres, mas compacto, usado comunmente en cabeceras HTTP Authorization, firmas JWT y cabeceras de solicitudes API. Verifica que formato espera tu servicio destino antes de generar.

Cuando recibes un webhook de Stripe, el payload viene con una cabecera X-Stripe-Signature que contiene un HMAC-SHA256 del cuerpo en bruto, firmado con la clave secreta de tu endpoint. Para verificar: calcula el HMAC-SHA256 del cuerpo en bruto de la solicitud usando tu secreto, luego comparalo con el valor de la cabecera. Si coinciden, el webhook es autentico. GitHub usa X-Hub-Signature-256 de la misma forma. Esta herramienta te permite calcular y verificar estas firmas sin escribir codigo.

Para HMAC-SHA256, la longitud recomendada es de al menos 32 bytes (256 bits), igual al tamano de salida del hash. Claves mas cortas reducen la seguridad; claves mas largas son validas. Nunca uses cadenas memorables como claves, son demasiado predecibles. Genera claves con un RNG criptograficamente seguro y guardalas en variables de entorno o un gestor de secretos, nunca en el codigo fuente.

Genera un HMAC, luego pega un valor HMAC esperado en el campo Comparar. La herramienta compara los dos valores e indica si coinciden. Util para verificar firmas de webhooks: calcula el HMAC esperado a partir del payload recibido y tu clave, luego comparalo con la firma en la cabecera de la solicitud. Una coincidencia confirma que el webhook es autentico.

Nunca. Toda la generacion de HMAC usa la Web Crypto API (window.crypto.subtle.sign), que se ejecuta completamente en tu navegador. Tu clave, mensaje y resultado HMAC nunca se transmiten a ningun servidor. Puedes desconectarte de internet y la herramienta funciona igual.