HMAC-Generator

HMAC SHA1/SHA256-Hashes erzeugen

100 % kostenlos. Läuft vollständig in deinem Browser: deine Dateien und Daten verlassen dein Gerät nie, und es wird nichts auf einen Server hochgeladen.

key

Jump to the next useful tool without leaving your flow.

See more

Über dieses Tool

Ein einfacher Hash beweist, dass eine Nachricht nicht verändert wurde. Er beweist nicht, wer sie geschickt hat, weil jede Person SHA-256 von allem berechnen kann - Nachricht ändern, Hash neu berechnen, die Manipulation ist unsichtbar. HMAC schließt diese Lücke, indem ein Geheimschlüssel in den Hash-Prozess gemischt wird. Nur wer den Schlüssel hat, kann einen gültigen Code erzeugen, ein passendes HMAC beweist also beides: Die Nachricht ist intakt und kam von einer Partei, die das Geheimnis kennt. Deshalb trägt es Webhook-Verifikation: Wenn Stripe, GitHub oder Slack deinem Server ein Event schicken, signieren sie die Payload mit einem geteilten Geheimnis, und diese Signatur zu prüfen stoppt Fake-Events an deinem Endpoint. Das kritische Implementierungsdetail ist der Vergleich. Signaturen mit normaler String-Gleichheit zu prüfen leakt Timing-Informationen, die ein Angreifer messen kann, um den Schlüssel Byte für Byte zu holen - Constant-Time-Vergleich ist nötig. Die Berechnung läuft hier in deinem Browser.

So verwendest du dieses Tool

  1. Nachricht eingebenDie exakte zu signierende Payload - bei Webhook-Verifikation der rohe Request-Body, Byte für Byte.
  2. Geheimschlüssel eingebenDas geteilte Geheimnis. Nutze beim Erkunden einen Testschlüssel statt eines Produktionskeys.
  3. Algorithmus wählenSHA-256 für alles Neue. SHA-1 bleibt nur für Kompatibilität mit älteren Systemen.
  4. Ergebnis vergleichenIm echten Code mit einer Constant-Time-Funktion vergleichen, nie mit einem einfachen String-Gleichheitscheck.

Warum es nutzen

  • Beweist Authentizität und Integrität, was ein einfacher Hash nicht kann.
  • Unterstützt den SHA-256-Algorithmus, den aktuelle Systeme erwarten.
  • Läuft in deinem Browser, Schlüssel und Payloads werden also nie übertragen.
  • Nützlich, um Webhook-Signatur-Mismatches direkt zu debuggen.
  • Kein Konto und kein Ratenlimit.

Häufige Anwendungen

  • Eine Webhook-Signatur von Stripe, GitHub, Slack oder einem ähnlichen Anbieter prüfen.
  • Einen API-Request signieren, bei dem der Dienst einen HMAC-Header verlangt.
  • Debuggen, warum ein Signaturcheck zwischen zwei Systemen scheitert.
  • Eine Testsignatur erzeugen, während du die Verifikation implementierst.
  • Lernen, wie HMAC sich vom einfachen Hashen unterscheidet.

Tipps für bessere Ergebnisse

  • Signiere den rohen Request-Body genau wie empfangen. Nach JSON parsen und neu serialisieren ändert die Bytes und bricht die Signatur - das ist der häufigste Webhook-Verifikationsbug.
  • Vergleiche Signaturen mit einer Constant-Time-Funktion. Normaler String-Vergleich bricht beim ersten Mismatch ab, das leakt den Schlüssel über viele Versuche.
  • Nutze SHA-256. SHA-1 ist nur angemessen, wenn ein bestehendes System es verlangt.
  • Prüfe Encoding: Anbieter unterscheiden sich, ob die Signatur Hex oder Base64 ist, und Vergleich über Formate scheitert immer.
  • Speichere das Geheimnis in einer Umgebungsvariable, nie im Source Control.

Fehler, die du vermeiden solltest

  • Die Payload vor dem Signieren neu serialisieren, sodass die Bytes von dem abweichen, was der Sender signiert hat.
  • == oder === zum Signaturvergleich nutzen, das ist ein echter Timing-Angriffsvektor, kein theoretischer.
  • HMAC mit Verschlüsselung verwechseln. Es authentifiziert eine Nachricht; es versteckt sie nicht.
  • Eine Hex-Signatur gegen eine Base64-Signatur vergleichen und schließen, der Schlüssel sei falsch.
  • Ein Live-Produktionsgeheimnis aus Gewohnheit in ein Drittanbieter-Tool einfügen.

Häufig gestellte Fragen

Ein normaler Hash beweist nur Datenintegrität (dass nichts verändert wurde), aber jede Person kann ihn berechnen. HMAC braucht zusätzlich einen Geheimschlüssel, beweist also, dass die Nachricht von jemandem kommt, der den Schlüssel kennt - Authentifizierung oben auf Integritätsprüfung.

API-Request-Signing (prüfen, dass ein Request wirklich von einem autorisierten Client kommt), Webhook-Payload-Verifikation und verschiedene Auth-Protokolle, bei denen du Integrität und Herkunft einer Nachricht bestätigen musst.

Die Berechnung läuft komplett in deinem Browser, nichts wird übertragen. Trotzdem: Vermeide es als Gewohnheit, Produktionsgeheimnisse in Drittanbieter-Tools einzufügen - nutze einen Testschlüssel beim Lernen oder Debuggen.

Fast immer, weil die Payload vor dem Signieren geparst und neu serialisiert wurde. HMAC läuft über exakte Bytes, und JSON.parse gefolgt von JSON.stringify ändert Schlüsselreihenfolge und Whitespace. Signiere den rohen Body genau wie empfangen.

Weil gewöhnlicher String-Vergleich zurückkehrt, sobald er einen Unterschied findet. Ein Angreifer kann dieses Timing über viele Versuche messen, um die richtige Signatur Byte für Byte zu ermitteln. Jede Sprache hat eine Constant-Time-Vergleichsfunktion genau dafür.

SHA-256 für alles Neue. HMAC-SHA1 ist nicht so gebrochen wie plain SHA-1, aber es gibt heute keinen Grund, es zu wählen - nutze es nur, wenn ein bestehendes System es verlangt.

Ja. Hmac Generator ist für die normale Nutzung kostenlos, du brauchst kein Konto, und ToolBox fügt deinem Ergebnis kein Wasserzeichen hinzu.

Die meisten Tools in dieser Kategorie laufen in deinem Browser, sodass die Datei auf deinem Gerät bleibt. Wenn ein Tool einen temporären Server-Auftrag braucht, werden Dateien nur für diesen Auftrag verarbeitet und nicht als dauerhaftes Archiv gespeichert.

Andere suchen auch nach

  • hmac generator online
  • hmac sha256 rechner
  • webhook signatur prüfen
  • hmac vs hash
  • api request hmac signieren
  • stripe webhook signatur check
  • hmac authentifizierung erklärt

Related guides