Générateur HMAC

HMAC (Hash-based Message Authentication Code) associe une fonction de hachage cryptographique à une clé secrète. Défini par la RFC 2104, il transforme un message de longueur quelconque en une balise d’authentification de longueur fixe. HMAC-SHA256 est la variante moderne la plus courante ; HMAC-SHA384 et HMAC-SHA512 produisent des balises plus longues, tandis que HMAC-SHA1 subsiste dans des protocoles anciens.

Le destinataire qui possède la même clé recalcule le HMAC et compare les balises. Une correspondance montre que le message n’a pas changé et provient d’une partie connaissant le secret partagé. HMAC est un code d’authentification symétrique, pas un chiffrement ni une signature numérique à clé publique.

De manière simplifiée, HMAC calcule H((K′ ⊕ opad) || H((K′ ⊕ ipad) || message)). La clé est adaptée à la taille de bloc du hachage puis combinée à deux constantes pour les opérations interne et externe. Cette construction évite le problème d’extension de longueur des schémas naïfs comme hash(clé || message).

HMAC-SHA1 produit 20 octets (40 caractères hex), HMAC-SHA256 32 octets (64), HMAC-SHA384 48 octets (96) et HMAC-SHA512 64 octets (128). Le générateur affiche la balise complète en hexadécimal minuscule, sans troncature.

1. Saisissez le message exact.
2. Choisissez HMAC-SHA256, HMAC-SHA1, HMAC-SHA384 ou HMAC-SHA512.
3. Sélectionnez le format de clé : texte, hex ou Base64.
4. Saisissez la clé secrète puis copiez le résultat hexadécimal.

Le message est toujours encodé en UTF-8. En mode texte, la clé l’est aussi ; les valeurs hex et Base64 sont d’abord décodées en octets. Espaces, sauts de ligne, casse, Unicode, algorithme et format de clé modifient le résultat.

HMAC authentifie souvent les requêtes API, charges utiles de webhooks, données de session et messages de protocoles. La vérification recalcule la balise sur exactement les mêmes octets avec le secret partagé, puis effectue une comparaison en temps constant. Un horodatage ou nonce peut empêcher les attaques par rejeu.

Respectez toujours la spécification : une API peut exiger une requête canonique, un webhook signer le corps HTTP brut et JWT HS256 utiliser Base64URL plutôt que hex. Cet outil calcule le HMAC du texte saisi, mais ne construit pas de chaîne propre à un fournisseur, ne convertit pas en Base64URL et ne vérifie pas automatiquement une balise existante.