Générateur HMAC
Saisissez un message et une clé secrète pour obtenir le HMAC en hexadécimal et en Base64. Pratique pour vérifier les signatures de webhooks et les requêtes d'API.
À propos de cet outil
Un code d'authentification de message fondé sur le hachage combine une clé secrète et un message, si bien que seul celui qui connaît la clé peut produire ou vérifier l'empreinte. Les webhooks de Stripe, GitHub, Shopify et bien d'autres signent leurs charges utiles en HMAC-SHA256 ; des schémas d'API comme AWS Signature v4 enchaînent plusieurs HMAC. Savoir en calculer un à la main reste le moyen le plus rapide de déboguer une signature qui ne correspond pas.
L'outil s'appuie sur l'API Web Crypto du navigateur : le résultat est donc identique à celui d'OpenSSL, du module hmac de Python ou du module crypto de Node. La clé et le message sont traités comme du texte UTF-8. Rien ne quitte votre appareil.
Questions fréquentes
- Mon HMAC ne correspond pas à celui du serveur. Pourquoi ?
- En général, le message diffère d'un saut de ligne final, ou la clé est en Base64 / hexadécimal et doit d'abord être décodée. Comparez les octets bruts des deux côtés.
- Quel algorithme choisir ?
- HMAC-SHA256 est le choix standard. SHA-1 ne sert plus qu'à la compatibilité avec des systèmes anciens.
- Un hachage et un HMAC, est-ce la même chose ?
- Non. Un hachage n'a pas de clé : n'importe qui peut le recalculer. Un HMAC exige la clé secrète.