Acerca de HMAC
HMAC de hidevtool genera códigos de autenticación de mensaje desde texto UTF-8 y un secreto. Elige MD5, SHA-1, familia SHA-2 y salida hex o Base64—los datos no se suben.
Qué puedes hacer
Papel del secreto
El secreto se mezcla con el mensaje en el hash. Solo quien conoce el mismo secreto puede recalcular el mismo MAC—detecta manipulación y sugiere origen del portador de clave. SHA plano permite a cualquiera reproducir el digest.
Algoritmos hash
- HMAC-SHA256 — el más habitual en API y webhooks actuales.
- HMAC-SHA512 / SHA-384 — cuando la spec exige MAC más largo.
- HMAC-SHA1 — integraciones legacy; evítalo en diseños nuevos.
- HMAC-MD5 — solo compatibilidad; no para secretos nuevos ni pagos.
Mensaje y clave
- Mensaje y secreto son cadenas UTF-8, como en ejemplos típicos de SDK.
- Emisor y receptor deben coincidir en alg, clave y codificación de salida (hex / Base64).
- HMAC no cifra—el contenido no se oculta; verifica integridad y origen.
Codificación de salida
- Hex — minúsculas; útil en logs y campos JSON.
- Base64 — más compacto; sigue lo que indique la documentación de la API.
Consejos de seguridad
- 1Usa secretos largos y aleatorios; no incrustes claves de producción en frontends públicos.
- 2API nuevas: HMAC-SHA256 o superior; rota claves al cambiar personal o proveedor.
- 3En servidor, compara MAC en tiempo constante cuando sea posible.
- 4No reutilices el mismo secreto entre productos o entornos no relacionados.
- 5Contraseñas: PBKDF2/bcrypt/Argon2—not HMAC solo.
Casos de uso frecuentes
Firma de peticiones API
HMAC sobre petición normalizada o digest del body según gateway o docs de pagos.
Verificación de webhooks
Recalcula HMAC con el secreto del endpoint y compáralo con X-Hub-Signature u otros headers.
Depurar JWT HS*
Confirma que la firma HMAC-SHA256 es correcta en integraciones JWT con clave simétrica.
Preguntas frecuentes
- ¿Para qué sirve HMAC?
- Firmas de API, verificación de webhooks y cualquier caso con secreto compartido donde quieras detectar manipulación.
- ¿Por qué hace falta un secreto?
- Sin secreto solo sabes si cambió el contenido, no quién lo creó. Con secreto, quien verifica confía solo en MAC del portador de clave.
- ¿Qué alg elijo?
- Predeterminado HMAC-SHA256. Usa SHA-512, SHA-1 o MD5 solo si la documentación legacy lo exige. Cambiar mensaje, secreto, alg o codificación actualiza el resultado.
- ¿Hex o Base64?
- Sigue la spec de la API. Esta herramienta admite ambos; en docs suele predominar hex, algunos headers usan Base64.
- ¿Se sube el secreto?
- No. El cálculo ocurre enteramente en tu navegador.