Générateur HMAC

Comment utiliser

1. Collez le message à authentifier dans le champ de saisie.
2. Saisissez votre clé secrète, choisissez HMAC-SHA-256 ou HMAC-SHA-512 et cliquez sur « Calculer le HMAC ».
3. Copiez la signature en hexadécimal minuscule. La clé comme le message sont traités localement et ne quittent jamais votre navigateur.

À propos de cet outil

HMAC (Hash-based Message Authentication Code, RFC 2104) combine une clé secrète et un message pour produire une signature que seul un détenteur de la même clé peut reproduire. C'est le mécanisme derrière la plupart des vérifications de webhooks — Stripe, GitHub, Shopify et Slack signent tous leurs payloads de webhook en HMAC-SHA-256 — ainsi que des URL signées, la signature de requêtes d'API et les contrôles d'intégrité de jetons de session. Quand une validation de webhook échoue, calculer à la main la signature attendue avec cet outil est en général le moyen le plus rapide de trouver l'écart.

Le calcul utilise SubtleCrypto, l'API WebCrypto native du navigateur : la clé est importée avec crypto.subtle.importKey et la signature produite avec crypto.subtle.sign, la cryptographie est donc l'implémentation auditée du navigateur lui-même plutôt qu'une réinvention en JavaScript. HMAC n'est pas un simple hash(clé + message) : il hache deux fois, en mélangeant la clé avec deux bourrages différents (voir la formule ci-dessous), ce qui bloque les attaques par extension de longueur qui cassent la construction naïve. La sortie reproduit exactement les vecteurs de test de la RFC 4231.

Votre clé secrète ne quitte jamais le navigateur : cet outil n'effectue aucune requête réseau, n'envoie rien et ne stocke rien — vous pouvez le vérifier dans l'onglet réseau des outils de développement de votre navigateur. Deux notes pratiques pour le code de production : comparez toujours les signatures avec une comparaison en temps constant pour éviter les attaques temporelles, et assurez-vous que les deux côtés signent exactement les mêmes octets — un saut de ligne final invisible ou un corps JSON resérialisé est la cause la plus courante de HMAC discordants.

La formule

HMAC(K, m) = H((K xor opad) || H((K xor ipad) || m)), où H est la fonction de hachage et où ipad (octet 0x36) et opad (octet 0x5c) sont répétés jusqu'à la taille de bloc du hash. Le double hachage imbriqué empêche les attaques par extension de longueur qui cassent les constructions naïves hash(clé + message).

Questions fréquentes