HMAC-generator

Vad är detta verktyg?

HMAC står för Hash-based Message Authentication Code. Den kombinerar en hemlig nyckel med ett meddelande och en standardhashfunktion (som SHA-256) för att producera ett sammandrag med fast längd. Alla med samma nyckel och meddelande beräknar exakt samma HMAC — men utan nyckeln är det beräkningsmässigt omöjligt att skapa en giltig HMAC för ett meddelande, även om du känner till vilken hashalgoritm som används.

Det är den avgörande skillnaden mot en vanlig hash: en vanlig hash (MD5, SHA-256 osv.) tar bara meddelandet som indata, så vem som helst kan beräkna den, och den bevisar ingenting om vem som skapade den. En HMAC tar meddelandet *och* en hemlig nyckel, så en giltig HMAC bevisar att avsändaren hade hemligheten — det är en autentiseringsmekanism, inte bara en integritetskontroll.

HMAC är formellt standardiserad av NIST i FIPS 198-1 och definierad för internetprotokoll i IETF RFC 2104. Det här verktyget beräknar HMAC:er med din webbläsares inbyggda Web Crypto API (`crypto.subtle.sign` med HMAC-algoritmen), som implementerar RFC 2104 korrekt istället för en handskriven JavaScript-version.

Varför använda det?

• Signera API-förfrågningar så att den mottagande servern kan verifiera att förfrågan kom från någon som innehar den delade hemligheten och inte manipulerades.
• Verifiera webhook-payloads (Stripe, GitHub, Shopify och liknande tjänster signerar alla sina webhook-innehåll med HMAC-SHA256).
• Generera autentiseringstoken eller engångskoder som är beroende av en delad hemlighet.
• Jämför din egen HMAC-implementations resultat med ett känt korrekt referensvärde.
• 100 % lokalt: din hemliga nyckel och ditt meddelande lämnar aldrig webbläsaren, så det är säkert att testa riktiga hemligheter.

Så använder du det

1. Ange din hemliga nyckel i fältet "Secret Key".
2. Ange meddelandet du vill autentisera i fältet "Message".
3. Resultaten för HMAC-SHA1, HMAC-SHA256, HMAC-SHA384 och HMAC-SHA512 genereras omedelbart (kryssa i "Uppercase output" om ditt målsystem förväntar sig versaler).
4. Klicka på "Copy" bredvid den HMAC du behöver.

Exempel

Inmatning

Secret Key: key
Message: The quick brown fox jumps over the lazy dog

Resultat

HMAC-SHA256: f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8
HMAC-SHA1: de7c9b85b8b78aa6bc8a7a36f70a90701c9db4d9

Det här är en standardpublicerad testvektor: med nyckeln "key" och exakt detta meddelande producerar HMAC-SHA256 och HMAC-SHA1 alltid dessa värden i varje korrekt implementation, så du kan verifiera det här verktygets resultat oberoende.

HMAC kontra vanlig hash: när behöver du en nyckel

Den avgörande frågan är: behöver du bevisa vem som skapade det här sammandraget, eller bara att innehållet inte har ändrats? Om en offentlig kontrollsumma räcker — för att verifiera att en nedladdad fil matchar det utgivaren angett, eller för att deduplicera poster — fungerar en vanlig hash och vem som helst kan kontrollera den, utan nyckel. Om du behöver bevisa att sammandraget bara kunde ha producerats av någon som innehar en specifik hemlighet — autentisera en API-anropare, lita på avsändaren av en webhook — behöver du HMAC, eftersom en vanlig hash ger en angripare utan hemlighet samma förmåga att förfalska ett giltigt sammandrag som den riktiga avsändaren.

→ Multi-Algorithm Hash Generator · JWT Decoder · MD5 Generator

Jämförelse av de fyra HMAC-algoritmerna

Alla fyra använder samma HMAC-konstruktion från RFC 2104, och skiljer sig bara åt i den underliggande hashfunktionen och därmed utdatalängden.

Vanliga användningsområden

• Signera utgående API-förfrågningar med en delad hemlighet så att servern kan verifiera anroparens identitet.
• Verifiera inkommande webhook-payloads (Stripe-Signature, GitHub X-Hub-Signature-256 och liknande headers använder alla HMAC-SHA256).
• Generera och validera signaturdelen av en JWT signerad med HS256/HS384/HS512.
• Testa att din server- eller klientsidiga HMAC-implementation matchar förväntad utdata innan den driftsätts.

Vanliga frågor