HMAC Üretici

"hello" kelimesinin SHA-256 hash'i her zaman aynıdır: herkes hesaplayabilir. "hello" kelimesinin HMAC-SHA256'sı ise her gizli anahtar için farklı sonuç üretir. Düz hash yalnızca bütünlük sağlar (kurcalamayı tespit eder). HMAC ise bütünlük artı kimlik doğrulama sağlar (kimin imzaladığını kanıtlar). Bu yüzden API'lar istek imzalama için düz SHA-256 değil HMAC kullanır.

HMAC-SHA256, endüstri standardıdır ve çoğu servisin kullandığı algoritmadır: AWS Signature Version 4, Stripe webhook'ları, GitHub webhook'ları, Shopify webhook'ları. HMAC-SHA512 ekstra güvenlik marjı sağlar ve 64-bit donanımda SHA-256'dan daha hızlıdır. Yeni projeler için HMAC-SHA1'den kaçının; yalnızca gerektiren eski sistemlerle entegrasyonda kullanın.

Her ikisi de aynı HMAC değerini farklı kodlamalarla temsil eder. Hex (onaltılık), HMAC-SHA256 için 64 karakter üretir; elle okumak ve karşılaştırmak daha kolaydır. Base64 44 karakter üretir; daha kompakttır ve HTTP Authorization başlıklarında, JWT imzalarında ve API istek başlıklarında yaygın olarak kullanılır. Oluşturmadan önce hedef servisin hangi formatı beklediğini kontrol edin.

Stripe'dan bir webhook aldığınızda, payload; endpoint'inizin gizli anahtarıyla imzalanmış ham gövdenin HMAC-SHA256'sını içeren bir X-Stripe-Signature başlığıyla birlikte gelir. Doğrulamak için: gizli anahtarınızı kullanarak ham istek gövdesinin HMAC-SHA256'sını hesaplayın, ardından başlık değeriyle karşılaştırın. Eşleşirlerse webhook gerçektir. GitHub da aynı şekilde X-Hub-Signature-256 kullanır. Bu araç, kod yazmadan bu imzaları hesaplamanızı ve doğrulamanızı sağlar.

HMAC-SHA256 için önerilen anahtar uzunluğu en az 32 bayt (256 bit)'tir; hash çıktı boyutuyla eşleşir. Daha kısa anahtarlar güvenliği azaltır; daha uzun anahtarlar sorun yaratmaz. İnsan tarafından hatırlanabilecek dizileri asla anahtar olarak kullanmayın; bunlar çok tahmin edilebilirdir. Anahtarları kriptografik güvenli bir RNG ile oluşturun ve ortam değişkenlerinde ya da gizli yöneticisinde saklayın; asla kaynak kodunda değil.

Bir HMAC oluşturun, ardından beklenen HMAC değerini Karşılaştır alanına yapıştırın. Araç iki değeri karşılaştırarak eşleşip eşleşmediğini bildirir. Webhook imzalarını doğrulamak için kullanışlıdır: alınan payload ve anahtarınızdan beklenen HMAC'ı hesaplayın, ardından istek başlığındaki imzayla karşılaştırın. Eşleşme, webhook'un gerçek olduğunu doğrular.

Asla. Tüm HMAC oluşturma işlemleri, tamamen tarayıcınızda çalışan Web Crypto API (window.crypto.subtle.sign) kullanır. Anahtarınız, mesajınız ve HMAC çıktınız hiçbir sunucuya iletilmez. İnternetten bağlantınızı kesebilirsiniz; araç aynı şekilde çalışmaya devam eder.