Kostenloser HMAC-Generator online

Der HMAC-Generator ist ein kostenloses Online-Tool, das HMAC-Signaturen (Hash-based Message Authentication Code) für die API-Authentifizierung und die Überprüfung der Datenintegrität erstellt.

Ja, er ist völlig kostenlos und erfordert keine Registrierung. Die gesamte HMAC-Erzeugung erfolgt clientseitig in Ihrem Browser.

HMAC dient dazu, sowohl die Integrität als auch die Authentizität von Nachrichten zu überprüfen, und wird häufig bei der API-Authentifizierung, bei Webhooks und in sicheren Kommunikationsprotokollen eingesetzt.

Absolut. Der HMAC-Generator verarbeitet alles clientseitig in Ihrem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Ihre Inhalte bleiben jederzeit privat auf Ihrem Gerät.

Ja, der HMAC-Generator ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Sie können ihn auf jedem Gerät mit einem modernen Webbrowser nutzen, ohne eine App herunterladen zu müssen.

Es ist kein Konto und keine Registrierung erforderlich. Öffnen Sie einfach den HMAC-Generator in Ihrem Browser und beginnen Sie sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Geben Sie einfach Ihren Text in das vorgesehene Feld ein, passen Sie die Einstellungen nach Wunsch an, und das Tool verarbeitet ihn sofort. Anschließend können Sie das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der HMAC-Generator funktioniert in allen modernen Browsern, darunter Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwenden Sie die neueste Version Ihres bevorzugten Browsers.

Ein einfacher Hash wie SHA-256 nimmt eine Nachricht und erzeugt daraus einen Digest fester Länge, den aber jeder nachrechnen kann, da kein Geheimnis im Spiel ist. Das beweist nur dann, dass sich eine Nachricht nicht verändert hat, wenn du dem Digest bereits vertraust. HMAC mischt einen geheimen Schlüssel in den Hashing-Prozess ein und beweist damit sowohl Integrität als auch Authentizität: Die Signatur konnte nur von jemandem erzeugt worden sein, der den gemeinsamen Schlüssel besitzt. Ein Angreifer, der deine Nachricht sieht, kann trotzdem keinen gültigen HMAC ohne diesen Schlüssel fälschen — deshalb setzen Webhooks und API-Signing auf HMAC statt auf einen reinen Hash. Schon der Name spiegelt das wider -- HMAC steht für Hash-based Message Authentication Code, also ein um ein Geheimnis erweiterter Hash. Dieses Tool berechnet den HMAC für dich: Nachricht eingeben, Schlüssel angeben, Algorithmus wählen und die Signatur in hex oder Base64 kopieren.

Für neue Projekte ist HMAC-SHA256 die empfohlene Standardeinstellung und der am weitesten verbreitete Algorithmus beim API-Signing -- Stripe, GitHub und die meisten modernen Anbieter setzen darauf. HMAC-SHA384 und HMAC-SHA512 liefern größere Digests (SHA-512 gibt eine 64 Byte lange Ausgabe zurück), falls dein Design eine breitere Sicherheitsmarge verlangt. HMAC-SHA1 ist nur aus Gründen der Legacy-Kompatibilität mit älteren Systemen wie OAuth 1.0 enthalten; für neue Designs solltest du es nicht wählen, da die Kollisionsschwächen von SHA-1 es zu einer schwachen Grundlage machen, auch wenn HMAC-SHA1 nicht auf dieselbe Weise gebrochen ist wie ein roher SHA-1-Hash. Im Zweifel starte mit HMAC-SHA256 und wechsle nur, wenn ein Anbieter explizit etwas anderes verlangt. Dieses Tool bietet alle vier Algorithmen an und berechnet die Signatur beim Umschalten sofort neu, sodass du Ausgaben direkt nebeneinander vergleichen kannst.

Abweichungen entstehen fast immer durch unterschiedliche Eingaben, nicht durch einen defekten Algorithmus, denn HMAC ist deterministisch -- dieselbe Nachricht und derselbe Schlüssel ergeben immer dieselbe Signatur. Prüfe vier Dinge. Erstens die exakten Nachricht-Bytes: Eine geparste oder neu formatierte JSON-Payload statt der rohen Payload zu signieren ist die häufigste Ursache. Zweitens das Schlüsselformat: Anbieter geben Secrets als Klartext, hex oder Base64 aus, und eine falsche Dekodierung verändert jedes einzelne Byte. Drittens die Ausgabekodierung: Prüfe, ob hex oder Base64 erwartet wird. Viertens den Algorithmus und einen eventuell angehängten Zeitstempel. Dieses Tool lässt dich all das explizit steuern -- gib den Schlüssel als Text, hex oder Base64 ein, wähle den Algorithmus und entscheide dich für hex- oder Base64-Ausgabe -- und nutze anschließend den Verifizieren-Tab, um die erwartete Signatur einzufügen und zu prüfen, ob sie passt, bevor du deinen eigenen Code debuggst.

Ein Replay-Angriff liegt vor, wenn jemand einen gültig signierten Request abfängt und ihn später erneut sendet, um die Aktion noch einmal auszulösen. Da HMAC deterministisch ist, bleibt die abgefangene Signatur für immer gültig, solange sich nichts an den signierten Daten ändert. Die Standardabwehr besteht darin, vor dem Signieren einen Zeitstempel an die Nachricht anzuhängen, sodass die Signatur auch den Zeitpunkt der Anfrage abdeckt. Dein Server lehnt dann jeden Request ab, dessen Zeitstempel außerhalb eines kurzen Zeitfensters liegt -- oft nur wenige Minuten -- wodurch eine wiederholte Signatur veraltet und nutzlos wird. Genau so schützen Anbieter wie Stripe ihre Webhooks. Dieses Tool kann einen Unix-Epoch- oder ISO-8601-Zeitstempel an deine Nachricht anhängen, bevor der HMAC berechnet wird, sodass du den signierten String eines Anbieters exakt nachbilden oder ein eigenes replay-sicheres Signierschema entwickeln und gegen deine Verifizierungslogik testen kannst.

Eine solide Faustregel ist, einen kryptografisch zufälligen Schlüssel von mindestens 256 Bit, also 32 Byte, zu verwenden; ein Schlüssel in der gleichen Länge wie die Hash-Ausgabe ist eine sinnvolle Standardwahl -- 32 Byte für HMAC-SHA256, 64 Byte für HMAC-SHA512. Die Länge zählt weniger als die Zufälligkeit: Eine kurze, erratbare oder von Menschen gewählte Passphrase untergräbt HMAC unabhängig davon, mit welchem Algorithmus sie kombiniert wird, denn die gesamte Sicherheitsgarantie beruht darauf, dass der Angreifer den Schlüssel nicht finden kann. Schlüssel, die deutlich länger sind als die interne Blockgröße des Hashes, werden zunächst selbst gehasht und bringen keine zusätzliche Stärke. Dieses Tool enthält Ein-Klick-Buttons, um über den sicheren Zufallszahlengenerator deines Browsers einen zufälligen Schlüssel mit 16, 32 oder 64 Byte zu erzeugen, sodass du ein passend dimensioniertes Secret erstellen kannst, ohne die Kommandozeile zu bemühen, und direkt damit signieren kannst.