Generador HMAC

HMAC (Hash-based Message Authentication Code) combina una función hash criptográfica con una clave secreta. El algoritmo, definido en RFC 2104, convierte un mensaje de cualquier longitud en una etiqueta de autenticación de longitud fija. HMAC-SHA256 es la variante moderna más habitual; HMAC-SHA384 y HMAC-SHA512 producen etiquetas más largas, mientras que HMAC-SHA1 permanece en protocolos antiguos.

Quien posee la misma clave puede volver a calcular el HMAC y comparar las etiquetas. Una coincidencia demuestra que el mensaje no cambió y que fue creado por alguien que conoce el secreto compartido. HMAC es un código simétrico de autenticación, no cifrado ni una firma digital de clave pública.

De forma simplificada, HMAC calcula H((K′ ⊕ opad) || H((K′ ⊕ ipad) || mensaje)). La clave se adapta al tamaño de bloque del hash y se combina con dos constantes para las operaciones interna y externa. Así se evita el problema de extensión de longitud de construcciones ingenuas como hash(clave || mensaje).

HMAC-SHA1 genera 20 bytes (40 caracteres hex), HMAC-SHA256 32 bytes (64), HMAC-SHA384 48 bytes (96) y HMAC-SHA512 64 bytes (128). El generador muestra la etiqueta completa en hexadecimal minúsculo sin truncarla.

1. Introduce el mensaje exacto.
2. Selecciona HMAC-SHA256, HMAC-SHA1, HMAC-SHA384 o HMAC-SHA512.
3. Elige el formato de clave: texto, hex o Base64.
4. Introduce la clave secreta y copia el resultado hexadecimal.

El mensaje siempre se codifica como UTF-8. En modo texto la clave también usa UTF-8; hex y Base64 se decodifican primero a bytes. Los espacios, saltos de línea, mayúsculas, Unicode, algoritmo y formato de clave cambian el resultado.

HMAC se usa para autenticar solicitudes API, cargas de webhooks, datos de sesión y mensajes de protocolos. Para verificar, se recalcula la etiqueta sobre exactamente los mismos bytes con el secreto compartido y se compara en tiempo constante. Una marca temporal o nonce puede impedir ataques de repetición.

Sigue siempre la especificación: una API puede exigir una solicitud canónica, un webhook puede firmar el cuerpo HTTP sin procesar y JWT HS256 usa Base64URL, no hex. Esta herramienta calcula el HMAC del texto introducido, pero no crea cadenas específicas de proveedores, no convierte a Base64URL ni verifica automáticamente una etiqueta existente.