HMAC Oluşturucu

Bu Araç Nedir?

HMAC, Hash Tabanlı Mesaj Kimlik Doğrulama Kodu anlamına gelir. Sabit uzunlukta bir özet üretmek için gizli bir anahtarı, bir mesajı ve standart bir hash fonksiyonunu (SHA-256 gibi) birleştirir. Aynı anahtara ve mesaja sahip herkes tam olarak aynı HMAC'ı hesaplar — ancak anahtar olmadan, kullanılan hash algoritmasını bilseniz bile bir mesaj için geçerli bir HMAC üretmek hesaplama açısından mümkün değildir.

Sıradan bir hash'ten temel fark budur: sıradan bir hash (MD5, SHA-256 vb.) yalnızca mesajı girdi olarak alır, dolayısıyla herkes onu hesaplayabilir ve kim tarafından oluşturulduğuna dair hiçbir şey kanıtlamaz. HMAC ise mesajın *yanı sıra* bir gizli anahtar da alır, bu yüzden geçerli bir HMAC göndericinin bu gizli anahtara sahip olduğunu kanıtlar — bu sadece bir bütünlük kontrolü değil, bir kimlik doğrulama mekanizmasıdır.

HMAC, NIST tarafından FIPS 198-1 belgesinde resmi olarak standartlaştırılmıştır ve internet protokolleri için IETF RFC 2104 belgesinde tanımlanmıştır. Bu araç, HMAC'leri tarayıcınızın yerel Web Crypto API'si (`crypto.subtle.sign`, HMAC algoritmasıyla) kullanarak hesaplar; bu API, elle yazılmış bir JavaScript sürümü yerine RFC 2104'ü doğru şekilde uygular.

Neden Kullanmalısınız?

• Stripe webhook endpoint'iniz staging ortamında sürekli "signature verification failed" döndürüyor ve hatanın kodda mı yoksa anahtarda mı olduğunu anlamanız gerekiyor — aynı payload ve webhook secret'ı buraya yapıştırıp hangi HMAC-SHA256'yı beklemeniz gerektiğini hemen görüyorsunuz.
• Her isteği HMAC-SHA1 ile imzalamanızı isteyen üçüncü taraf bir API'yi entegre ediyorsunuz ve dokümantasyon sadece Python örneği veriyor — istemci tarafı uygulamanızın aynı sonucu üretip üretmediğini bir satır kod yazmadan önce doğrulamak için aynı anahtar ve mesajla aynı HMAC'ı burada üretiyorsunuz.
• Bir iş arkadaşınız Node.js'te HMAC-SHA256 hesaplayan bir kod parçası gönderdi ve bilgisayarınıza Node kurmadan veya bir REPL başlatmadan çıktının doğru olduğunu hızlıca kontrol etmek istiyorsunuz.
• İki faktörlü kimlik doğrulama sisteminde hata ayıklamak için bir HOTP/TOTP belirteci üretmeniz gerekiyor ve son 6 haneli OTP koduna kısaltılmadan önceki ara HMAC'ı görmek istiyorsunuz.
• Bir mikroservise paylaşılan bir gizli anahtarla nasıl istek imzalanacağına dair dahili bir kılavuz yazıyorsunuz ve iş arkadaşlarınızın aynı değerleri yapıştırarak birebir yeniden oluşturabileceği doğrulanabilir bir örnek eklemek istiyorsunuz.
• %100 yerel: gizli anahtarınız ve mesajınız tarayıcıdan asla çıkmaz, bu yüzden gerçek üretim gizli değerlerini üçüncü taraf bir sunucuya gönderme riski olmadan test edebilirsiniz.

Nasıl Kullanılır

1. "Gizli Anahtar" alanına gizli anahtarınızı girin.
2. Kimliğini doğrulamak istediğiniz mesajı "Mesaj" alanına girin.
3. HMAC-SHA1, HMAC-SHA256, HMAC-SHA384 ve HMAC-SHA512 sonuçları anında oluşturulur (hedef sisteminiz büyük harf bekliyorsa "Büyük harf çıktı" seçeneğini işaretleyin).
4. İhtiyacınız olan HMAC'ın yanındaki "Kopyala" düğmesine tıklayın.

Örnek

Giriş

Gizli Anahtar: key
Mesaj: The quick brown fox jumps over the lazy dog

Çıkış

HMAC-SHA256: f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8
HMAC-SHA1: de7c9b85b8b78aa6bc8a7a36f70a90701c9db4d9

Bu, standart ve yayımlanmış bir test vektörüdür: "key" anahtarı ve tam olarak bu mesajla, HMAC-SHA256 ve HMAC-SHA1 her doğru uygulamada her zaman bu değerleri üretir, böylece bu aracın çıktısını bağımsız olarak doğrulayabilirsiniz.

HMAC ile sıradan hash: anahtara ne zaman ihtiyacınız var

Belirleyici soru şudur: bu özeti kimin oluşturduğunu mu kanıtlamanız gerekiyor, yoksa sadece içeriğin değişmediğini mi? Herkese açık bir kontrol toplamı yeterliyse — indirilen bir dosyanın yayımcının belirttiğiyle eşleştiğini doğrulamak, kayıtları tekilleştirmek gibi — sıradan bir hash işe yarar ve herkes anahtar olmadan kontrol edebilir. Özetin yalnızca belirli bir gizli anahtara sahip biri tarafından üretilebileceğini kanıtlamanız gerekiyorsa — bir API çağıranı kimliklendirmek, bir webhook'un göndericisine güvenmek gibi — HMAC'a ihtiyacınız var; çünkü sıradan bir hash, hiçbir gizli anahtarı olmayan bir saldırgana gerçek göndericiyle aynı şekilde geçerli bir özet sahtelemesi imkanı tanır.

→ Çoklu Algoritma Hash Oluşturucu · JWT Çözücü · MD5 Oluşturucu

Dört HMAC algoritmasının karşılaştırması

Dördü de RFC 2104'teki aynı HMAC yapısını kullanır; yalnızca alttaki hash fonksiyonu ve dolayısıyla çıktı uzunluğu bakımından farklılık gösterirler.

Yaygın kullanım senaryoları

• Giden API isteklerini paylaşılan bir gizli anahtarla imzalamak, böylece sunucu çağıranın kimliğini doğrulayabilir.
• Gelen webhook yüklerini doğrulamak (Stripe-Signature, GitHub X-Hub-Signature-256 ve benzeri başlıkların hepsi HMAC-SHA256 kullanır).
• HS256/HS384/HS512 ile imzalanmış bir JWT'nin imza kısmını oluşturmak ve doğrulamak.
• Sunucu tarafı veya istemci tarafı HMAC uygulamanızın, dağıtımdan önce beklenen çıktıyla eşleştiğini test etmek.

Eşleşmeyen bir HMAC'ta hata ayıklama

Kodunuzun hesapladığı HMAC harici bir hizmetin beklediğiyle eşleşmediğinde, sorun neredeyse her zaman algoritmada değil girdide olur — bu araç tam da nedeni izole etmek için kullanışlıdır.

Aracın kendisinin beklendiği gibi çalıştığını doğrulamak için yukarıdaki örnekteki bilinen vektörle teste başlayın, ardından çıktının beklentilerinizle eşleşmeyi bıraktığı noktayı tam olarak bulana kadar anahtar ve mesajı kademeli olarak gerçek değerlerinizle değiştirin — bu, sorunun anahtar kodlamasında mı, mesajdaki boşluklarda mı yoksa seçilen algoritmada mı olduğunu hızlıca izole eder.

Sıkça Sorulan Sorular