Gerador de HMAC online

Como usar

1. Digite ou cole a mensagem e a chave secreta.
2. Escolha o algoritmo (o mais usado é o HMAC-SHA256) e em que formato a chave está: texto, hexadecimal ou Base64.
3. Copie o resultado em hexadecimal ou Base64.
4. Para conferir uma assinatura de webhook, cole-a no último campo, com ou sem o prefixo sha256=.

Como funciona

O HMAC, definido na RFC 2104, mistura a chave com a mensagem em duas rodadas de uma função de hash: HMAC(K, m) = H((K xor opad) seguido de H((K xor ipad) seguido de m)). Uma chave maior que o bloco da função (64 bytes para SHA-256, 128 para SHA-512) é reduzida com o próprio hash antes.

O resultado só bate com o do outro lado se os bytes forem exatamente os mesmos. Isso vale para a chave, cujo formato importa (uma chave em Base64 tratada como texto gera outro HMAC), e para a mensagem: use o corpo original da requisição, sem reformatar o JSON e sem espaços ou quebras de linha a mais no fim. O texto é convertido para UTF-8 antes do cálculo.

Colisões conhecidas no MD5 e no SHA-1 não quebram o HMAC da mesma forma, mas para projetos novos a recomendação é usar HMAC-SHA256 ou superior. O HMAC prova autenticidade e integridade, e não esconde a mensagem: ele não é criptografia.

Fonte: RFC 2104: HMAC; RFC 4231: vetores de teste do HMAC com SHA-2

Em código

Para conferir a assinatura HMAC-SHA256 de um webhook, compare o valor recebido com o calculado sobre o corpo original, em tempo constante.

import { createHmac, timingSafeEqual } from 'node:crypto';

// corpo: o corpo ORIGINAL da requisição (Buffer ou texto, sem reformatar)
// cabecalho: o valor do cabeçalho de assinatura, por exemplo "sha256=ab12..."
function assinaturaValida(corpo, segredo, cabecalho) {
  const esperada = 'sha256=' + createHmac('sha256', segredo).update(corpo).digest('hex');
  const a = Buffer.from(cabecalho ?? '');
  const b = Buffer.from(esperada);
  return a.length === b.length && timingSafeEqual(a, b);
}

import hashlib
import hmac


def assinatura_valida(corpo: bytes, segredo: str, cabecalho: str | None) -> bool:
    esperada = "sha256=" + hmac.new(segredo.encode(), corpo, hashlib.sha256).hexdigest()
    return hmac.compare_digest(esperada.encode(), (cabecalho or "").encode())

<?php
// $corpo: o corpo ORIGINAL da requisição, por exemplo file_get_contents('php://input')
// $cabecalho: por exemplo $_SERVER['HTTP_X_HUB_SIGNATURE_256'] ?? null
function assinaturaValida(string $corpo, string $segredo, ?string $cabecalho): bool
{
    $esperada = 'sha256=' . hash_hmac('sha256', $corpo, $segredo);
    return hash_equals($esperada, $cabecalho ?? '');
}