Gerador HMAC

HMAC (Hash-based Message Authentication Code) combina uma função hash criptográfica com uma chave secreta. Definido na RFC 2104, transforma uma mensagem de qualquer tamanho numa etiqueta de autenticação de tamanho fixo. HMAC-SHA256 é a variante moderna mais comum; HMAC-SHA384 e HMAC-SHA512 produzem etiquetas maiores, enquanto HMAC-SHA1 ainda aparece em protocolos antigos.

Quem possui a mesma chave pode recalcular o HMAC e comparar as etiquetas. A igualdade indica que a mensagem não mudou e foi criada por alguém que conhece o segredo partilhado. HMAC é um código de autenticação simétrico, não encriptação nem assinatura digital de chave pública.

De forma simplificada, HMAC calcula H((K′ ⊕ opad) || H((K′ ⊕ ipad) || mensagem)). A chave é ajustada ao tamanho de bloco do hash e combinada com duas constantes nas operações interna e externa. Isso evita o problema de extensão de comprimento de construções ingénuas como hash(chave || mensagem).

HMAC-SHA1 produz 20 bytes (40 caracteres hex), HMAC-SHA256 32 bytes (64), HMAC-SHA384 48 bytes (96) e HMAC-SHA512 64 bytes (128). O gerador mostra a etiqueta completa em hexadecimal minúsculo, sem truncamento.

1. Introduza a mensagem exata.
2. Escolha HMAC-SHA256, HMAC-SHA1, HMAC-SHA384 ou HMAC-SHA512.
3. Selecione o formato da chave: texto, hex ou Base64.
4. Introduza a chave secreta e copie o resultado hexadecimal.

A mensagem é sempre codificada em UTF-8. No modo texto a chave também usa UTF-8; hex e Base64 são primeiro descodificados em bytes. Espaços, quebras de linha, maiúsculas, Unicode, algoritmo e formato da chave alteram o resultado.

HMAC é usado para autenticar pedidos de API, conteúdos de webhooks, dados de sessão e mensagens de protocolos. A verificação recalcula a etiqueta sobre exatamente os mesmos bytes com o segredo partilhado e compara em tempo constante. Um timestamp ou nonce também pode evitar ataques de repetição.

Siga sempre a especificação: uma API pode exigir um pedido canónico, um webhook pode assinar o corpo HTTP bruto e JWT HS256 usa Base64URL em vez de hex. Esta ferramenta calcula o HMAC do texto introduzido, mas não cria strings específicas de fornecedores, não converte para Base64URL e não verifica automaticamente uma etiqueta existente.