Generador de firmas HMAC

Funciones

• Tres algoritmos: HMAC-SHA1, HMAC-SHA256 y HMAC-SHA512
• Un campo de clave aparte, así la clave nunca se pega dentro de un mensaje largo
• Clave y mensaje se procesan como bytes UTF-8, igual que Node, Java y Python
• Salida en hexadecimal o Base64
• Las claves vacías se rechazan en vez de producir una firma de aspecto plausible
• La clave solo interviene en el cálculo local

Cómo se usa

1. Escribe la clave secreta en el campo de clave
2. Pega el mensaje en el campo de entrada
3. Elige el algoritmo y la codificación de salida, y pulsa Ctrl/⌘ + Enter o haz clic en Ejecutar
4. Pulsa Copiar para llevarte la firma

Preguntas frecuentes

¿En qué se diferencia HMAC de hashear clave + mensaje?

HMAC aplica un XOR de la clave sobre un bloque con relleno y hashea dos veces, una interior y otra exterior, y esa estructura lo hace inmune a los ataques de extensión de longitud. Un hash(clave + mensaje) construido sobre MD5, SHA-1 o SHA-256 deja que un atacante calcule más firmas válidas sin conocer la clave. Nunca armes esa cadena a mano para una API.

¿Por qué la clave es obligatoria?

Una clave vacía produce la firma de «la cadena vacía como clave» — aritméticamente válida, inútil para ti e indistinguible de una firma de aspecto correcto. Mandarla a una API solo gana un fallo de verificación sin ninguna pista. Rechazarla aquí te ahorra ese viaje.

Mi firma no coincide con la del otro lado. ¿Por qué?

Comprueba tres cosas por orden: si la clave se trata como bytes UTF-8 (esta herramienta sí), si el mensaje lleva espacios o saltos de línea de más, y si coincide la codificación de salida (hex y Base64 son dos vistas de los mismos bytes). Las dos primeras cambian el resultado por completo.

¿Qué significa «este entorno no ofrece Web Crypto»?

HMAC funciona con la API nativa del navegador crypto.subtle, que solo existe en un contexto seguro: https:// o localhost / 127.0.0.1. Abierta por http:// o desde una IP de red local no está disponible — es una política de seguridad del navegador. Usa una dirección https, u otra herramienta.

¿Se sube mi clave secreta?

No. La clave y el mensaje solo intervienen en cálculos dentro de la memoria de tu navegador; la página no hace ninguna petición de red y sigue funcionando sin conexión. Por eso también es válido verificar una firma aquí — pero ten cuidado al pegar secretos de producción en una máquina compartida.