HMAC-Rechner
Berechnen Sie HMAC-Signaturen mit SHA-256, SHA-1 oder MD5 vollständig in Ihrem Browser. Zero-Knowledge-Architektur, keine Übertragung des Schlüssels.
Ein HMAC wird hier über die exakt gelieferten Bytes mit SHA-256, SHA-1 oder MD5 berechnet. Die Prüfung gelingt nur, wenn beide Seiten denselben String gebildet haben – die Normalisierung ist wichtiger als die Algorithmuswahl.
Werkzeugbereich
Hash-Algorithmus
Nachrichtengröße: 0.00 MB von 10 MB — größere Nachrichten werden vor dem Signieren abgelehnt.
Schlüssel wird nur in Ihrem Browser verarbeitet.
Ausgabeformat
API-Authentifizierung
Verwenden Sie HMAC-SHA256 zum Signieren von API-Anfragen. Fügen Sie einen Zeitstempel hinzu, um Replay-Angriffe zu verhindern.
Beispiel für eine Webhook-Signatur
Prüfen Sie den Rohinhalt der Anfrage exakt so, wie er empfangen wurde — erneutes Serialisieren von JSON verändert die Bytes und bricht die Signatur.
// Node.js — verify a webhook signature
import { createHmac, timingSafeEqual } from 'node:crypto';
export function verifyWebhook(rawBody, signature) {
const expected = createHmac('sha256', process.env.WEBHOOK_SECRET)
.update(rawBody) // raw bytes, not JSON.stringify(req.body)
.digest('hex');
const a = Buffer.from(expected, 'hex');
const b = Buffer.from(signature, 'hex');
return a.length === b.length && timingSafeEqual(a, b);
}Verwenden Sie einen Vergleich in konstanter Zeit und lehnen Sie veraltete Zeitstempel ab, um Replay-Angriffe zu verhindern.
Noch kein Ergebnis
Geben Sie oben Ihre Eingabe ein, dann erscheint das Ergebnis hier.
So berechnen Sie HMAC-Signaturen
Erfahren Sie, wie Sie HMAC-Signaturen für die API-Authentifizierung und die Prüfung der Datenintegrität im Browser berechnen.
- 1
Hash-Algorithmus auswählen
Wählen Sie SHA-256 (empfohlen), SHA-1 oder MD5.
- 2
Nachricht und Schlüssel eingeben
Geben Sie die zu signierende Nachricht und Ihren geheimen Schlüssel ein.
- 3
Ausgabeformat wählen
Wählen Sie hexadezimale oder Base64-Kodierung.
- 4
Berechnen und kopieren
Klicken Sie auf Berechnen, um die HMAC-Signatur zu erzeugen, und kopieren Sie sie anschließend für Ihre Anwendung.
Häufige Anwendungsfälle
- 1Webhook-Payloads signieren, damit Empfänger den Absender prüfen können
- 2API-Anfragen zwischen Diensten authentifizieren, ohne Passwörter auszutauschen
- 3Sicherstellen, dass eine Nachricht während der Übertragung nicht verändert wurde
- 4Signierte Anfrage-Bodys für idempotente, replay-geschützte Aufrufe erstellen
Häufige Fragen
Wofür wird HMAC verwendet?
HMAC prüft Authentizität und Integrität von Nachrichten mit einem gemeinsamen Schlüssel – typisch für API-Signaturen und Webhook-Payloads.
Welche Algorithmen sind verfügbar?
SHA-256 (empfohlen), SHA-1 und MD5.
Wird mein Schlüssel übertragen?
Nein. Schlüssel und Nachricht werden lokal im Browser verarbeitet und verlassen nie Ihr Gerät.
Wie prüfe ich eine Webhook-Signatur?
Berechnen Sie den HMAC über den exakten Rohtext der Anfrage mit dem gemeinsamen Geheimnis und vergleichen Sie das Hex- oder Base64-Ergebnis mit dem Signatur-Header. Das Feld für den Erwartungswert vergleicht beide in konstanter Zeit, sodass eine Abweichung gemeldet wird, ohne die abweichende Stelle zu verraten.
Ändert die Eingabekodierung den HMAC?
Ja. HMAC arbeitet auf Bytes, daher erzeugt derselbe Text als UTF-8, Hex oder Base64 unterschiedliche Eingaben. Verwenden Sie die Kodierung des Absenders und hashen Sie den Rohtext statt eines neu serialisierten JSON-Objekts.
Verwandte Anleitungen
Verwandte Tools
Hintergrund zur Verschlüsselung auf zeyrovault.com
Sie sind verantwortlich für die Schlüsselverwaltung und Ausgabevalidierung.