Gerador de Hash

Continuar na ferramenta

Mais páginas desta ferramenta

gerador hmac sha-256

Gerador HMAC-SHA-256 online

HMAC-SHA-256 combina uma mensagem com uma chave secreta para produzir uma assinatura de 256 bits, definida pela RFC 2104. Aqui a página já entra direto no fluxo de mensagem, segredo e assinatura, do jeito que webhook e JWT HS256 usam de verdade.

Como o HMAC transforma hash em assinatura

A RFC 2104, publicada em 1997, define o HMAC combinando a chave secreta com dois preenchimentos fixos: o ipad, byte 0x36 repetido até completar o tamanho de bloco do algoritmo, e o opad, byte 0x5c repetido do mesmo jeito. Para SHA-256 esse bloco tem 64 bytes, então a chave é expandida ou reduzida por outro hash até caber nesse tamanho antes de entrar na fórmula.
Essa construção resolve um problema que um SHA-256 puro não resolve: qualquer pessoa consegue recalcular um hash simples sobre um payload alterado, porque o algoritmo é público. Só quem tem a chave secreta consegue gerar um HMAC-SHA-256 válido para uma mensagem nova, e é por isso que a assinatura de webhook, geralmente enviada num cabeçalho tipo X-Signature, e o algoritmo HS256 do JWT usam HMAC em vez de hash direto.
Verificar a assinatura recebida contra a calculada localmente precisa de uma comparação em tempo constante, percorrendo todos os bytes mesmo depois de achar uma diferença: uma comparação normal de string para no primeiro byte errado, e essa diferença de tempo, medida em microssegundos, é o suficiente para um atacante remoto reconstruir a assinatura byte a byte num ataque de timing.

Exemplos de HMAC-SHA-256

Vetor conhecido

Entrada: mensagem: The quick brown fox jumps over the lazy dog segredo: key
Saída esperada: f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8

Combinação de mensagem e chave citada em vários guias de implementação de HMAC, usada para validar bibliotecas diferentes contra o mesmo resultado de 64 caracteres.

Assinatura de webhook

Entrada: mensagem: {"event":"ping"} segredo: demo-secret
Saída esperada: 6e31114c3e7b24dbc8a81b646f20cf1a39a540315c3452d9f459c75230c1dc36

É o mesmo formato que um provedor grava num cabeçalho tipo X-Signature: o receptor recalcula o HMAC com o segredo combinado e compara com o valor enviado antes de confiar no payload.

Segredo estilo Stripe

Entrada: mensagem: {"id":42} segredo: whsec_teste
Saída esperada: 4ff364b3701f73ed702446e9df39bac17c7078f50e1a69b21b8f02541ef97316

O prefixo "whsec_" é a convenção que a Stripe usa para nomear chaves de assinatura de webhook; o cálculo do HMAC em si não depende do prefixo, só da string completa da chave.

FAQ da ferramenta completa

A ferramenta gera hash localmente?

Sim. Texto, arquivo e chave HMAC são processados diretamente no navegador, sem upload para servidor.

Qual a diferença entre hash, checksum e HMAC?

MD5 ainda serve para alguma coisa?

Quando usar SHA-256?

CRC32 e Adler-32 são criptografia?

O que muda ao usar HMAC?

Posso calcular hash de arquivo sem enviar o arquivo?

A comparação aceita letras maiúsculas, minúsculas e espaços?

Posso usar este gerador para senhas?

MD5, SHA-256, CRC32 e HMAC-SHA-256 servem para coisas diferentes?

Perguntas frequentes

HMAC é a mesma coisa que um hash simples com a chave colada no texto?

Não, e essa diferença importa: concatenar chave e mensagem antes de um SHA-256 comum abre brecha para um ataque de extensão de comprimento. O HMAC evita isso aplicando a chave duas vezes, com os preenchimentos ipad e opad definidos pela RFC 2104.

HMAC-SHA-256 e JWT HS256 são a mesma coisa?

HS256 é o nome que o padrão JWT dá ao algoritmo HMAC-SHA-256 aplicado sobre o cabeçalho e o payload codificados em Base64URL. A assinatura final do token é exatamente o HMAC-SHA-256 calculado com a chave secreta compartilhada entre emissor e verificador.

O segredo digitado aqui fica salvo em algum lugar?

Não. A chave só existe na memória da aba do navegador enquanto a página está aberta, usada para calcular a assinatura com a Web Crypto API; fechar ou recarregar a página apaga o valor.

Próximos passos

Como o HMAC transforma hash em assinatura

A RFC 2104, publicada em 1997, define o HMAC combinando a chave secreta com dois preenchimentos fixos: o ipad, byte 0x36 repetido até completar o tamanho de bloco do algoritmo, e o opad, byte 0x5c repetido do mesmo jeito. Para SHA-256 esse bloco tem 64 bytes, então a chave é expandida ou reduzida por outro hash até caber nesse tamanho antes de entrar na fórmula.

Essa construção resolve um problema que um SHA-256 puro não resolve: qualquer pessoa consegue recalcular um hash simples sobre um payload alterado, porque o algoritmo é público. Só quem tem a chave secreta consegue gerar um HMAC-SHA-256 válido para uma mensagem nova, e é por isso que a assinatura de webhook, geralmente enviada num cabeçalho tipo X-Signature, e o algoritmo HS256 do JWT usam HMAC em vez de hash direto.

Verificar a assinatura recebida contra a calculada localmente precisa de uma comparação em tempo constante, percorrendo todos os bytes mesmo depois de achar uma diferença: uma comparação normal de string para no primeiro byte errado, e essa diferença de tempo, medida em microssegundos, é o suficiente para um atacante remoto reconstruir a assinatura byte a byte num ataque de timing.

Exemplos de HMAC-SHA-256

Vetor conhecido

Entrada: mensagem: The quick brown fox jumps over the lazy dog segredo: key
Saída esperada: f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8

Combinação de mensagem e chave citada em vários guias de implementação de HMAC, usada para validar bibliotecas diferentes contra o mesmo resultado de 64 caracteres.

Assinatura de webhook

Entrada: mensagem: {"event":"ping"} segredo: demo-secret
Saída esperada: 6e31114c3e7b24dbc8a81b646f20cf1a39a540315c3452d9f459c75230c1dc36

É o mesmo formato que um provedor grava num cabeçalho tipo X-Signature: o receptor recalcula o HMAC com o segredo combinado e compara com o valor enviado antes de confiar no payload.

Segredo estilo Stripe

Entrada: mensagem: {"id":42} segredo: whsec_teste
Saída esperada: 4ff364b3701f73ed702446e9df39bac17c7078f50e1a69b21b8f02541ef97316

O prefixo "whsec_" é a convenção que a Stripe usa para nomear chaves de assinatura de webhook; o cálculo do HMAC em si não depende do prefixo, só da string completa da chave.

FAQ da ferramenta completa

A ferramenta gera hash localmente?

Sim. Texto, arquivo e chave HMAC são processados diretamente no navegador, sem upload para servidor.

Qual a diferença entre hash, checksum e HMAC?

MD5 ainda serve para alguma coisa?

Quando usar SHA-256?

CRC32 e Adler-32 são criptografia?

O que muda ao usar HMAC?

Posso calcular hash de arquivo sem enviar o arquivo?

A comparação aceita letras maiúsculas, minúsculas e espaços?

Posso usar este gerador para senhas?

MD5, SHA-256, CRC32 e HMAC-SHA-256 servem para coisas diferentes?

Perguntas frequentes

HMAC é a mesma coisa que um hash simples com a chave colada no texto?

HMAC-SHA-256 e JWT HS256 são a mesma coisa?

O segredo digitado aqui fica salvo em algum lugar?

Não. A chave só existe na memória da aba do navegador enquanto a página está aberta, usada para calcular a assinatura com a Web Crypto API; fechar ou recarregar a página apaga o valor.