Zum Hauptinhalt springen
Hashing

HMAC-Authentifizierungscode-Generator

Erzeugen Sie kleingeschriebenes HMAC-SHA-256/384/512 aus UTF-8-Nachricht und wörtlichem UTF-8-Geheimnis mit Web Crypto. Essentiell für API-Entwickler und Sicherheitsingenieure, die Webhook-Signaturen verifizieren, JWT-Tokensignaturen erstellen oder Anfragen authentifizieren müssen. Läuft vollständig lokal im Browser.

Hash-Werkzeuge

Kurz erklärt

Prüfen Sie Shared-Secret-MAC-Vektoren lokal und trennen Sie HMAC von Verschlüsselung und öffentlichen Signaturen.

Unterstützte Funktionen

  • Nachricht und Geheimnis sind wörtliche UTF-8-Strings; Hex/Base64-Schlüsseltext wird nicht dekodiert.
  • Web Crypto importiert einen nicht exportierbaren Roh-HMAC-Schlüssel und signiert mit SHA-256/384/512.
  • Kleingeschriebener Hex-MAC als hmac.txt.
  • Hash Generator für unkeyed Integrität, JWT Verifier für Token.
  • Nein; gemeinsames Geheimnis, keine Vertraulichkeit oder öffentliche Prüfung.

HMAC-Authentifizierungscode-Generator verwenden

Führen Sie einen überprüfbaren HMAC-Authentifizierungscode-Generator-Ablauf in diesem Browser aus.

  1. 1

    Schritt 1

    Exakte Eingabe bereitstellen

    Nachricht und Geheimnis sind wörtliche UTF-8-Strings; Hex/Base64-Schlüsseltext wird nicht dekodiert.

  2. 2

    Schritt 2

    Verfügbare Optionen setzen

    SHA-256, SHA-384 oder SHA-512 und Live wählen.

  3. 3

    Schritt 3

    Vorgang ausführen

    Web Crypto importiert einen nicht exportierbaren Roh-HMAC-Schlüssel und signiert mit SHA-256/384/512.

  4. 4

    Schritt 4

    Ergebnis prüfen

    RFC 4231 prüfen und in Produktion konstantzeitlich vergleichen.

  5. 5

    Schritt 5

    Weitergeben oder exportieren

    Hash Generator für unkeyed Integrität, JWT Verifier für Token.

Häufige Fehler

Unicode-Normalisierung oder Zeilenenden der Nachricht ignorieren

Folge: HMAC authentifiziert exakte Bytes. Optisch ähnliche NFC- und NFD-Texte sowie LF- und CRLF-Nachrichten ergeben verschiedene UTF-8-Bytefolgen und damit andere MACs.

Lösung: Nur die vom Protokoll geforderte Normalisierung anwenden und die exakten Nachrichtenbytes vergleichen, bevor der Algorithmus verdächtigt wird.

HMAC als Verschlüsselung oder öffentlich prüfbare Signatur verwenden

Folge: Die Nachricht bleibt lesbar. Wer den HMAC prüfen kann, muss dasselbe gemeinsame Geheimnis besitzen und kann deshalb auch einen gültigen MAC erzeugen.

Lösung: Für Vertraulichkeit authentifizierte Verschlüsselung oder für Prüfung ohne Signierbefugnis ein digitales Signaturverfahren verwenden.

Diesen Randfall übersehen: Warum passt ein Hexschlüssel-Vektor nicht?

Folge: Hexzeichen werden als UTF-8-Zeichenbytes statt repräsentierte Bytes genutzt.

Lösung: Schlüsselmaterial vorher in die protokollgenauen Bytes wandeln.

Bewährte Verfahren

  • RFC 4231 prüfen und in Produktion konstantzeitlich vergleichen.
  • Schlüsselmaterial vorher in die protokollgenauen Bytes wandeln.
  • Hochentropische Protokollschlüssel extern verwalten und rotieren.

Verbundene Abläufe

Einen Protokoll-HMAC-Vektor reproduzieren und prüfen

HMAC-Authentifizierungscode-GeneratorHash-GeneratorHMAC-JWT-Prüfer

Hash Generator für unkeyed Integrität, JWT Verifier für Token.

  1. Einen veröffentlichten Testvektor oder einen Nichtproduktionsschlüssel wählen
  2. Nachrichtenbytes, Schlüsselbytes, SHA-Variante und erwartete Hex-Schreibung bestätigen
  3. Den MAC erzeugen und Byte für Byte mit der Referenz vergleichen
  4. Denselben Vektor im Zielsystem mit konstantzeitlicher Prüfung verifizieren

Browser-Einschränkungen

  • Hexzeichen werden als UTF-8-Zeichenbytes statt repräsentierte Bytes genutzt.
  • Gesamte Strings im Speicher, kein Streaming.
  • SubtleCrypto benötigt sicheren Kontext.

Verbindliche Quellen

Web Cryptography Level 2: HMACHerausgeber: W3C · Geprüft: 2026-07-26RFC 4231: HMAC-SHA Test VectorsHerausgeber: RFC Editor · Geprüft: 2026-07-26FIPS 198-1: HMACHerausgeber: NIST · Geprüft: 2026-07-26

Konkrete Beispiele

Eingabe
Message: what do ya want for nothing? Secret: Jefe Algorithm: SHA-256
Ergebnis
5bdcc146bf60754e6a042426089575c75a003f089d2739839dec58b964ec3843

RFC-4231-Testfall 2 mit ASCII/UTF-8-Schlüssel Jefe.

Häufig gestellte Fragen

Werden Nachricht und Geheimnis als Text oder dekodierte Schlüsselbytes behandelt?

Nachricht und Geheimnis sind wörtliche UTF-8-Strings; Hex/Base64-Schlüsseltext wird nicht dekodiert.

Warum passt ein Hexschlüssel-Vektor nicht?

Hexzeichen werden als UTF-8-Zeichenbytes statt repräsentierte Bytes genutzt.

Verschlüsselt HMAC oder bietet öffentliche Signatur?

Nein; gemeinsames Geheimnis, keine Vertraulichkeit oder öffentliche Prüfung.

Wie lässt sich ein RFC-4231-Testvektor sicher reproduzieren?

RFC 4231 prüfen und in Produktion konstantzeitlich vergleichen.

Werden Nachricht oder Geheimnis übertragen oder dauerhaft gespeichert?

Nachricht und Schlüssel bleiben lokal; Web Crypto kann HTTPS verlangen. Keine Produktionsschlüssel verwenden.

Wann sollte ich stattdessen Hash Generator oder JWT Verifier verwenden?

Hash Generator für unkeyed Integrität, JWT Verifier für Token.

Datenschutz und Offline-Verhalten

Nachricht und Schlüssel bleiben lokal; Web Crypto kann HTTPS verlangen. Keine Produktionsschlüssel verwenden.