Generador HMAC online: SHA-256 y SHA-512
Genera firmas HMAC-SHA-256 o HMAC-SHA-512 a partir de una clave secreta y un mensaje con la Web Crypto API del navegador. Todo el cálculo se ejecuta enteramente en tu navegador: tu clave y tu mensaje nunca abandonan tu dispositivo.
Cómo usar esta herramienta
- Enter your secret key and the message you want to sign.
- Pick HMAC-SHA-256 or HMAC-SHA-512.
- Copy the resulting authentication code, computed locally with the Web Crypto API.
Your key and message never leave the browser. HMAC is computed entirely client-side using the Web Crypto API.
Acerca de Generador de HMAC
El generador HMAC calcula códigos de autenticación de mensajes basados en hash (HMAC) combinando una clave secreta con el texto que introduces. A diferencia de un hash simple, HMAC añade una clave compartida al cálculo, de modo que solo quien conoce esa clave puede reproducir la misma firma. Es el mecanismo habitual para verificar la integridad y autenticidad de webhooks, llamadas a API y tokens, donde necesitas asegurarte de que el mensaje no se ha alterado y procede de quien dice proceder.
La herramienta admite dos funciones de resumen estándar, HMAC-SHA-256 y HMAC-SHA-512, y emplea la Web Crypto API nativa del navegador para el cálculo, la misma implementación criptográfica que usan las propias páginas seguras. Introduces tu clave secreta y tu mensaje, eliges el algoritmo y obtienes la firma en hexadecimal lista para copiar y comparar con la que genera tu servidor.
Como todo ocurre dentro del navegador, tu clave secreta y tu mensaje nunca se envían a un servidor ni quedan registrados en ningún sitio: nada abandona tu dispositivo. Eso la hace adecuada para trabajar con secretos reales mientras depuras una firma de webhook o validas la integración de una API, sin el riesgo de exponer credenciales a un servicio de terceros.
Preguntas frecuentes
- ¿Qué diferencia hay entre HMAC y un hash normal como SHA-256?
- Un hash simple solo depende del mensaje, así que cualquiera puede recalcularlo. HMAC incorpora además una clave secreta, de modo que solo quien conoce esa clave puede generar o verificar la firma. Por eso HMAC sirve para autenticación, no solo para comprobar integridad.
- ¿Qué algoritmos admite la herramienta?
- Admite HMAC-SHA-256 y HMAC-SHA-512, las dos variantes más usadas. SHA-256 produce una firma de 256 bits y SHA-512 una de 512 bits; ambas se calculan con la Web Crypto API estándar del navegador.
- ¿Es seguro introducir aquí mi clave secreta real?
- Sí. Todo el cálculo se ejecuta enteramente en tu navegador y nada se envía a un servidor, así que tu clave y tu mensaje nunca abandonan tu dispositivo. Aun así, evita usar esta o cualquier otra página en un equipo compartido o que no controles.
- ¿Para qué se usa normalmente HMAC?
- Para verificar la firma de webhooks, autenticar peticiones a API y comprobar que un mensaje no se ha manipulado en tránsito. El emisor firma con la clave compartida y el receptor recalcula el HMAC para confirmar que coincide.
- ¿Por qué la firma que obtengo no coincide con la de mi servidor?
- Las causas más habituales son usar un algoritmo distinto, una codificación de la clave diferente (texto plano frente a base64 o hexadecimal) o un mensaje con espacios o saltos de línea que no son idénticos. Asegúrate de que la clave, el mensaje exacto y el algoritmo sean los mismos en ambos lados.
- ¿En qué formato se muestra el resultado?
- La firma se devuelve como una cadena hexadecimal, que es la representación más común para comparar HMAC. Cópiala y compárala carácter a carácter con la que genera tu backend.