Công Cụ Tạo HMAC

Công Cụ Này Là Gì?

HMAC là viết tắt của Hash-based Message Authentication Code. Nó kết hợp một khóa bí mật với một thông điệp và một hàm hash tiêu chuẩn (như SHA-256) để tạo ra một digest có độ dài cố định. Bất kỳ ai có cùng khóa và cùng thông điệp đều sẽ tính ra chính xác cùng một mã HMAC — nhưng nếu không có khóa, việc tạo ra một mã HMAC hợp lệ cho một thông điệp là bất khả thi về mặt tính toán, ngay cả khi biết rõ thuật toán hash đang dùng.

Đây chính là khác biệt cốt lõi so với hash thông thường: một hash thông thường (MD5, SHA-256, v.v.) chỉ nhận thông điệp làm đầu vào, nên ai cũng tính được và nó không chứng minh được gì về người tạo ra nó. HMAC nhận cả thông điệp *và* một khóa bí mật, nên một mã HMAC hợp lệ chứng minh người gửi thực sự sở hữu khóa bí mật đó — đây là cơ chế xác thực, chứ không đơn thuần chỉ là kiểm tra tính toàn vẹn.

HMAC được NIST chuẩn hóa chính thức trong FIPS 198-1 và được định nghĩa cho các giao thức Internet trong IETF RFC 2104. Công cụ này tính HMAC bằng Web Crypto API gốc của trình duyệt (`crypto.subtle.sign` với thuật toán HMAC), triển khai đúng theo RFC 2104 thay vì một phiên bản JavaScript tự viết tay.

Tại Sao Nên Dùng?

• Endpoint webhook Stripe của bạn vừa từ chối một request vì lỗi signature mismatch, và bạn cần tự tính lại HMAC-SHA256 từ payload và secret để tìm ra chỗ sai lệch.
• Bạn đang viết tài liệu tích hợp API nội bộ và cần một ví dụ HMAC chính xác để trình bày cho đội bên ngoài, mà không muốn chạy cả script backend chỉ để lấy một ví dụ.
• Đoạn code HMAC Node.js hoặc Python bạn vừa viết cho ra kết quả khác với mong đợi, và bạn cần một giá trị tham chiếu độc lập từ một triển khai khác để tìm ra lỗi.
• Bạn đang debug tích hợp webhook GitHub và cần xác minh header X-Hub-Signature-256 nhận được có khớp với HMAC tính từ payload thô và secret webhook không.
• Bạn cần tính ngay HMAC cho secret production thật trong lúc xử lý sự cố, và không muốn gửi secret đó lên bất kỳ máy chủ bên thứ ba nào.
• 100% cục bộ: khóa bí mật và thông điệp của bạn không bao giờ rời khỏi trình duyệt, nên hoàn toàn an toàn để thử nghiệm với khóa bí mật thật.

Cách Sử Dụng

1. Nhập khóa bí mật của bạn vào trường "Secret Key".
2. Nhập thông điệp bạn muốn xác thực vào trường "Message".
3. Kết quả HMAC-SHA1, HMAC-SHA256, HMAC-SHA384 và HMAC-SHA512 được tạo ngay lập tức (đánh dấu "Uppercase output" nếu hệ thống đích của bạn yêu cầu chữ in hoa).
4. Nhấn "Copy" bên cạnh mã HMAC bạn cần.

Ví dụ

Đầu vào

Secret Key: key
Message: The quick brown fox jumps over the lazy dog

Đầu ra

HMAC-SHA256: f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8
HMAC-SHA1: de7c9b85b8b78aa6bc8a7a36f70a90701c9db4d9

Đây là một test vector tiêu chuẩn đã được công bố: với khóa "key" và chính xác thông điệp này, HMAC-SHA256 và HMAC-SHA1 luôn cho ra các giá trị này trên bất kỳ triển khai đúng nào, nên bạn có thể tự kiểm chứng kết quả của công cụ này một cách độc lập.

HMAC và hash thông thường: khi nào cần khóa

Câu hỏi quyết định là: bạn cần chứng minh ai đã tạo ra digest này, hay chỉ cần chứng minh nội dung không bị thay đổi? Nếu một checksum công khai là đủ — xác minh file tải về khớp với công bố của nhà phát hành, loại bỏ bản ghi trùng lặp — thì hash thông thường đáp ứng được và ai cũng kiểm tra được, không cần khóa. Nếu bạn cần chứng minh digest chỉ có thể được tạo ra bởi người nắm giữ một khóa bí mật cụ thể — xác thực bên gọi API, tin tưởng người gửi webhook — bạn cần HMAC, vì hash thông thường cho kẻ tấn công không có khóa bí mật khả năng giả mạo digest hợp lệ y hệt người gửi thật.

→ Công Cụ Tạo Hash Đa Thuật Toán · Công Cụ Giải Mã JWT · Công Cụ Tạo MD5

So sánh bốn thuật toán HMAC

Cả bốn đều dùng chung cấu trúc HMAC theo RFC 2104, chỉ khác nhau ở hàm hash nền, do đó khác nhau về độ dài output.

Các trường hợp sử dụng phổ biến

• Ký các request API gửi đi bằng một khóa bí mật dùng chung để server xác minh danh tính bên gọi.
• Xác minh payload webhook đến (các header như Stripe-Signature, GitHub X-Hub-Signature-256 và tương tự đều dùng HMAC-SHA256).
• Tạo và xác thực phần chữ ký của JWT được ký bằng HS256/HS384/HS512.
• Kiểm tra xem triển khai HMAC phía server hoặc phía client của bạn có khớp với output kỳ vọng trước khi triển khai thực tế hay không.

Những lỗi thường gặp khi tự triển khai HMAC

Hầu hết các lỗi "HMAC của tôi không khớp" không đến từ việc chọn sai thuật toán, mà từ những chi tiết nhỏ trong cách khóa và thông điệp được chuẩn bị trước khi tính toán.

• Đảm bảo khóa được xử lý với cùng một encoding ở cả hai phía — một chuỗi UTF-8 thông thường và một chuỗi hex/base64 đã được decode sẽ cho ra HMAC hoàn toàn khác nhau dù trông có vẻ giống nhau.
• Với việc xác minh webhook, luôn tính HMAC từ payload thô (raw body) trước khi nó được parse thành đối tượng JSON — nhiều framework backend tự động parse body request, và nếu bạn tính lại từ đối tượng đã được stringify lại, thứ tự key hay khoảng trắng có thể khác với body gốc mà bên gửi đã gửi đi.
• Luôn dùng phép so sánh constant-time (không phải `===` thông thường) khi xác minh HMAC trong code production của bạn, để tránh lỗ hổng timing attack — công cụ này chỉ dùng để tạo và so sánh trực quan lúc debug, không thay thế logic xác minh trong production.

Câu Hỏi Thường Gặp