Sobre o HMAC
HMAC de hidevtool genera códigos de autenticación de mensaje desde texto UTF-8 y un secreto. Elige MD5, SHA-1, familia SHA-2 y salida hex o Base64—los datos no se suben.
O que você pode fazer
Papel del secreto
El secreto se mezcla con el mensaje en el hash. Solo quien conoce el mismo secreto puede recalcular el mismo MAC—detecta manipulación y sugiere origen del portador de clave. SHA plano permite a cualquiera reproducir el digest.
Algoritmos hash
- HMAC-SHA256 — el más habitual en API y webhooks actuales.
- HMAC-SHA512 / SHA-384 — cuando la spec exige MAC más largo.
- HMAC-SHA1 — integraciones legacy; evítalo en diseños nuevos.
- HMAC-MD5 — solo compatibilidad; no para secretos nuevos ni pagos.
Mensaje y clave
- Mensaje y secreto son cadenas UTF-8, como en ejemplos típicos de SDK.
- Emisor y receptor deben coincidir en alg, clave y codificación de salida (hex / Base64).
- HMAC no cifra—el contenido no se oculta; verifica integridad y origen.
Codificación de salida
- Hex — minúsculas; útil en logs y campos JSON.
- Base64 — más compacto; sigue lo que indique la documentación de la API.
Dicas de segurança
- 1Usa secretos largos y aleatorios; no incrustes claves de producción en frontends públicos.
- 2API nuevas: HMAC-SHA256 o superior; rota claves al cambiar personal o proveedor.
- 3En servidor, compara MAC en tiempo constante cuando sea posible.
- 4No reutilices el mismo secreto entre productos o entornos no relacionados.
- 5Contraseñas: PBKDF2/bcrypt/Argon2—not HMAC solo.
Casos de uso comuns
Firma de peticiones API
HMAC sobre petición normalizada o digest del body según gateway o docs de pagos.
Verificación de webhooks
Recalcula HMAC con el secreto del endpoint y compáralo con X-Hub-Signature u otros headers.
Depurar JWT HS*
Confirma que la firma HMAC-SHA256 es correcta en integraciones JWT con clave simétrica.
Perguntas frequentes
- Para qué sirve HMAC?
- Firmas de API, verificación de webhooks y cualquier caso con secreto compartido donde quieras detectar manipulación.
- Por qué hace falta un secreto?
- Sin secreto solo sabes si cambió el contenido, no quién lo creó. Con secreto, quien verifica confía solo en MAC del portador de clave.
- Qué alg elijo?
- Predeterminado HMAC-SHA256. Usa SHA-512, SHA-1 o MD5 solo si la documentación legacy lo exige. Cambiar mensaje, secreto, alg o codificación actualiza el resultado.
- Hex o Base64?
- Sigue la spec de la API. Esta herramienta admite ambos; en docs suele predominar hex, algunos headers usan Base64.
- Se sube el secreto?
- No. El cálculo ocurre enteramente en seu navegador.