Generatore HMAC

Un hash SHA-256 di "hello" e sempre lo stesso: chiunque puo calcolarlo. Un HMAC-SHA256 di "hello" produce un risultato diverso per ogni chiave segreta. L'hashing semplice fornisce integrita (rileva la manomissione). HMAC fornisce integrita piu autenticazione (prova chi ha firmato). Ecco perche le API usano HMAC per la firma delle richieste, non SHA-256 semplice.

HMAC-SHA256 e lo standard del settore e quello usato dalla maggior parte dei servizi: AWS Signature Version 4, webhook Stripe, webhook GitHub, webhook Shopify. HMAC-SHA512 fornisce un margine di sicurezza extra ed e piu veloce di SHA-256 su hardware a 64 bit. Evita HMAC-SHA1 per i nuovi progetti; usalo solo per l'integrazione con sistemi legacy che lo richiedono.

Entrambi rappresentano lo stesso valore HMAC in codifiche diverse. Hex (esadecimale) produce 64 caratteri per HMAC-SHA256, piu facile da leggere e confrontare manualmente. Base64 produce 44 caratteri, piu compatto, comunemente usato negli header HTTP Authorization, firme JWT e header di richieste API. Verifica quale formato si aspetta il tuo servizio di destinazione prima di generare.

Quando ricevi un webhook da Stripe, il payload viene con un header X-Stripe-Signature contenente un HMAC-SHA256 del corpo grezzo, firmato con la chiave segreta del tuo endpoint. Per verificare: calcola l'HMAC-SHA256 del corpo grezzo della richiesta usando il tuo segreto, poi confronta con il valore dell'header. Se corrispondono, il webhook e autentico. GitHub usa X-Hub-Signature-256 nello stesso modo. Questo strumento ti permette di calcolare e verificare queste firme senza scrivere codice.

Per HMAC-SHA256, la lunghezza della chiave raccomandata e di almeno 32 byte (256 bit), corrispondente alla dimensione dell'output hash. Chiavi piu corte riducono la sicurezza; chiavi piu lunghe vanno bene. Non usare mai stringhe memorabili come chiavi, sono troppo prevedibili. Genera chiavi con un RNG crittograficamente sicuro e conservale in variabili d'ambiente o un gestore di segreti, mai nel codice sorgente.

Genera un HMAC, poi incolla un valore HMAC atteso nel campo Confronta. Lo strumento confronta i due valori e riporta se corrispondono. Utile per verificare le firme dei webhook: calcola l'HMAC atteso dal payload ricevuto e dalla tua chiave, poi confronta con la firma nell'header della richiesta. Una corrispondenza conferma che il webhook e autentico.

Mai. Tutta la generazione HMAC usa la Web Crypto API (window.crypto.subtle.sign), che gira completamente nel tuo browser. La tua chiave, messaggio e output HMAC non vengono mai trasmessi ad alcun server. Puoi disconnetterti da internet e lo strumento funziona in modo identico.