Generateur HMAC

Un hash SHA-256 de "hello" est toujours le meme : n'importe qui peut le calculer. Un HMAC-SHA256 de "hello" produit un resultat different pour chaque cle secrete. Le hachage simple donne l'integrite (detecte la falsification). HMAC donne l'integrite plus l'authentification (prouve qui a signe). C'est pourquoi les API utilisent HMAC pour signer les requetes, pas SHA-256 simple.

HMAC-SHA256 est le standard de l'industrie utilise par la plupart des services : AWS Signature Version 4, webhooks Stripe, webhooks GitHub, webhooks Shopify. HMAC-SHA512 offre une marge de securite supplementaire et est plus rapide que SHA-256 sur materiel 64 bits. Evitez HMAC-SHA1 pour les nouveaux projets ; utilisez-le uniquement pour l'integration avec des systemes legacy qui l'exigent.

Les deux representent la meme valeur HMAC dans des encodages differents. Hex (hexadecimal) produit 64 caracteres pour HMAC-SHA256, plus facile a lire et comparer manuellement. Base64 produit 44 caracteres, plus compact, couramment utilise dans les en-tetes HTTP Authorization, les signatures JWT et les en-tetes de requetes API. Verifiez le format attendu par votre service cible avant de generer.

Quand vous recevez un webhook de Stripe, le payload est accompagne d'un en-tete X-Stripe-Signature contenant un HMAC-SHA256 du corps brut, signe avec la cle secrete de votre endpoint. Pour verifier : calculez le HMAC-SHA256 du corps brut de la requete avec votre secret, puis comparez avec la valeur de l'en-tete. S'ils correspondent, le webhook est authentique. GitHub utilise X-Hub-Signature-256 de la meme facon. Cet outil vous permet de calculer et verifier ces signatures sans ecrire de code.

Pour HMAC-SHA256, la longueur de cle recommandee est d'au moins 32 octets (256 bits), correspondant a la taille de sortie du hash. Les cles plus courtes reduisent la securite ; les cles plus longues sont acceptables. N'utilisez jamais de chaines memorables comme cles, elles sont trop previsibles. Generez les cles avec un RNG cryptographiquement sur et stockez-les dans des variables d'environnement ou un gestionnaire de secrets, jamais dans le code source.

Generez un HMAC, puis collez une valeur HMAC attendue dans le champ Comparer. L'outil compare les deux valeurs et indique si elles correspondent. Utile pour verifier les signatures de webhooks : calculez le HMAC attendu a partir du payload recu et de votre cle, puis comparez avec la signature dans l'en-tete de la requete. Une correspondance confirme que le webhook est authentique.

Jamais. Toute la generation HMAC utilise la Web Crypto API (window.crypto.subtle.sign), qui s'execute entierement dans votre navigateur. Votre cle, message et resultat HMAC ne sont jamais transmis a aucun serveur. Vous pouvez vous deconnecter d'internet et l'outil fonctionne de maniere identique.