HMAC-Generator: HMAC-SHA256 berechnen

HMAC berechnen und Webhooks prüfen

HMAC (Hash-based Message Authentication Code, RFC 2104) verbindet eine Nachricht mit einem geheimen Schlüssel. Nur wer den Secret Key kennt, kann denselben Wert berechnen. Der HMAC-Generator rechnet HMAC-SHA256, HMAC-SHA512, HMAC-SHA384, HMAC-SHA1 und HMAC-MD5. Den Schlüssel können Sie als Text, Hex oder Base64 angeben, die Ausgabe erscheint als Hex, Base64 oder Base64URL.

Häufigster Einsatz ist die Webhook-Signatur: Dienste wie GitHub oder Zahlungsanbieter signieren den Body einer Anfrage mit einem gemeinsamen Secret und senden das Ergebnis in einem Header, bei GitHub zum Beispiel als X-Hub-Signature-256 mit dem Präfix sha256=. Um HMAC zu berechnen und eine solche Signatur zu prüfen, fügen Sie den unveränderten Body als Nachricht ein, tragen das Secret ein und setzen den Header-Wert in das Vergleichsfeld. Der Knopf „Testvektor RFC 4231“ lädt das offizielle Beispiel mit dem Schlüssel „Jefe“, damit Sie das Ergebnis nachprüfen können.

Grenzen: Schon ein zusätzliches Leerzeichen oder ein anderer Zeilenumbruch im Body ergibt eine völlig andere Signatur. Prüfen Sie deshalb immer die Rohdaten, nicht neu formatiertes JSON. In Ihrem Server-Code sollte der Vergleich in konstanter Zeit erfolgen (etwa mit hmac.compare_digest in Python oder crypto.timingSafeEqual in Node.js), um Timing-Angriffe zu vermeiden.