Generador de HMAC

¿Qué es esta herramienta?

HMAC son las siglas de Hash-based Message Authentication Code. Combina una clave secreta con un mensaje y una función hash estándar (como SHA-256) para producir un resumen de longitud fija. Cualquiera que tenga la misma clave y el mismo mensaje obtendrá exactamente el mismo HMAC — pero sin la clave, es computacionalmente inviable producir un HMAC válido para un mensaje, aunque se conozca el algoritmo hash utilizado.

Esa es la diferencia clave frente a un hash simple: un hash simple (MD5, SHA-256, etc.) solo toma el mensaje como entrada, así que cualquiera puede calcularlo y no demuestra nada sobre quién lo creó. Un HMAC toma el mensaje *y* una clave secreta, de modo que un HMAC válido demuestra que el emisor poseía el secreto — es un mecanismo de autenticación, no solo una comprobación de integridad.

El HMAC está formalmente estandarizado por el NIST en FIPS 198-1 y definido para protocolos de internet en IETF RFC 2104. Esta herramienta calcula los HMAC usando la API Web Crypto nativa de tu navegador (`crypto.subtle.sign` con el algoritmo HMAC), que implementa correctamente RFC 2104 en lugar de una versión hecha a mano en JavaScript.

¿Por qué utilizarlo?

• Estás integrando el webhook de Stripe y el endpoint devuelve "signature verification failed" — pegas la misma clave y el mismo payload aquí para ver si tu servidor está calculando el HMAC-SHA256 correctamente antes de seguir depurando código.
• Acabas de escribir la función que firma solicitudes salientes a una API de terceros y quieres comparar su salida contra un cálculo independiente antes de darla por buena.
• Un compañero te pasó un secreto compartido para probar una integración y necesitas generar la firma de una petición de prueba sin instalar ninguna librería ni escribir un script solo para esto.
• Estás documentando cómo firmar peticiones a tu propia API interna y necesitas un ejemplo reproducible con clave, mensaje y HMAC resultante para incluir en la guía del equipo.
• Sospechas que tu backend está usando SHA-1 en vez de SHA-256 en la firma de un token y quieres comparar ambos resultados lado a lado para confirmar cuál coincide con el que recibes.

Cómo utilizarlo

1. Introduce tu clave secreta en el campo «Clave secreta».
2. Introduce el mensaje que quieres autenticar en el campo «Mensaje».
3. Los resultados HMAC-SHA1, HMAC-SHA256, HMAC-SHA384 y HMAC-SHA512 se generan al instante (marca «Salida en mayúsculas» si el sistema de destino espera letras mayúsculas).
4. Haz clic en «Copiar» junto al HMAC que necesites.

Ejemplo

Entrada

Clave secreta: key
Mensaje: The quick brown fox jumps over the lazy dog

Resultado

HMAC-SHA256: f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8
HMAC-SHA1: de7c9b85b8b78aa6bc8a7a36f70a90701c9db4d9

Este es un vector de prueba estándar publicado: con la clave «key» y este mensaje exacto, HMAC-SHA256 y HMAC-SHA1 siempre producen estos valores en cualquier implementación correcta, así que puedes verificar el resultado de esta herramienta de forma independiente.

HMAC frente a un hash simple: cuándo necesitas una clave

La pregunta clave es: ¿necesitas demostrar quién creó este resumen, o solo que el contenido no ha cambiado? Si basta con un checksum público —comprobar que un archivo descargado coincide con lo que indicó el editor, deduplicar registros—, un hash simple funciona y cualquiera puede verificarlo, sin necesidad de clave. Si necesitas demostrar que el resumen solo pudo haberlo producido alguien que posee un secreto concreto —autenticar a quien llama a una API, confiar en el emisor de un webhook—, necesitas HMAC, porque un hash simple le daría a un atacante sin ningún secreto la misma capacidad de falsificar un resumen válido que al emisor real.

→ Generador de hash multialgoritmo · Decodificador de JWT · Generador de MD5

Comparación de los cuatro algoritmos HMAC

Los cuatro usan la misma construcción HMAC del RFC 2104, y solo se diferencian en la función hash subyacente y, por tanto, en la longitud de la salida.

Casos de uso habituales

• Firmar solicitudes de API salientes con un secreto compartido para que el servidor pueda verificar la identidad de quien llama.
• Verificar cargas útiles de webhooks entrantes (las cabeceras Stripe-Signature, X-Hub-Signature-256 de GitHub y similares usan todas HMAC-SHA256).
• Generar y validar la parte de firma de un JWT firmado con HS256/HS384/HS512.
• Comprobar que tu implementación de HMAC en el servidor o en el cliente coincide con el resultado esperado antes de ponerla en producción.

Errores comunes al depurar una firma HMAC que no coincide

• Firmar el JSON reformateado por tu framework en vez del cuerpo raw exacto de la petición — la mayoría de proveedores de webhooks (Stripe incluido) exigen firmar los bytes exactos recibidos antes de cualquier parseo, porque incluso un espacio de más cambia el HMAC resultante.
• Usar una codificación de texto distinta a UTF-8 en un extremo de la integración — casi todas las librerías modernas asumen UTF-8 por defecto, pero un sistema heredado en Latin-1 producirá un HMAC distinto para el mismo texto visible.
• Comparar la salida en hexadecimal minúscula con un valor esperado en mayúsculas (o en Base64 en vez de hexadecimal) — el valor criptográfico es el mismo, pero una comparación de cadenas literal fallará si los formatos no coinciden exactamente.
• Olvidar un salto de línea final que tu editor de texto añade automáticamente al pegar la clave o el mensaje — invisible al ojo, pero cambia completamente el HMAC calculado.

Preguntas frecuentes