Generador de HMAC online gratis

El generador de HMAC es una herramienta en línea gratuita que crea firmas de código de autenticación de mensajes basado en hash (HMAC) para la autenticación de API y la verificación de integridad de datos.

Sí, es completamente gratuito y no requiere registro. Toda la generación de HMAC se realiza del lado del cliente en tu navegador.

HMAC se utiliza para verificar tanto la integridad como la autenticidad de los mensajes, y se emplea habitualmente en la autenticación de API, los webhooks y los protocolos de comunicación segura.

Por supuesto. El generador de HMAC procesa todo del lado del cliente en tu navegador. No se sube ni se almacena ningún dato en ningún servidor. Tu contenido permanece privado en tu dispositivo en todo momento.

Sí, el generador de HMAC es totalmente adaptable y funciona en teléfonos y tabletas. Puedes usarlo en cualquier dispositivo con un navegador web moderno, sin necesidad de descargar ninguna aplicación.

No se necesita ninguna cuenta ni registro. Simplemente abre el generador de HMAC en tu navegador y empieza a usarlo de inmediato. No hay barreras de registro ni restricciones de uso.

Solo tienes que introducir tu texto en el campo correspondiente, ajustar las opciones a tu gusto y la herramienta lo procesará al instante. Después puedes copiar el resultado al portapapeles o descargarlo.

El generador de HMAC funciona en todos los navegadores modernos, incluidos Chrome, Firefox, Safari, Edge y Opera. Para una mejor experiencia, usa la última versión de tu navegador preferido.

Un hash simple como SHA-256 toma un mensaje y produce un digest de longitud fija, pero cualquiera puede recalcularlo porque no interviene ningún secreto. Eso solo demuestra que un mensaje no ha cambiado si ya confías en el digest de partida. HMAC incorpora una clave secreta al proceso de hashing, de modo que demuestra tanto integridad como autenticidad: la firma solo pudo haberla generado quien posee la clave compartida. Un atacante que vea tu mensaje sigue sin poder falsificar un HMAC válido sin esa clave, por eso los webhooks y la firma de APIs se apoyan en HMAC en lugar de en un hash simple. Incluso el nombre lo refleja: HMAC significa Hash-based Message Authentication Code, un hash envuelto en torno a un secreto. Esta herramienta genera el HMAC por ti: introduce un mensaje, aporta tu clave, elige un algoritmo y copia la firma en hexadecimal o Base64.

Para trabajos nuevos, HMAC-SHA256 es la opción recomendada por defecto y el algoritmo más utilizado en la firma de APIs: Stripe, GitHub y la mayoría de proveedores modernos lo usan. HMAC-SHA384 y HMAC-SHA512 ofrecen digests más grandes (SHA-512 devuelve una salida de 64 bytes) si tu diseño requiere un margen de seguridad más amplio. HMAC-SHA1 se incluye solo por compatibilidad heredada con sistemas antiguos como OAuth 1.0; no deberías elegirlo para diseños nuevos, porque las debilidades de colisión de SHA-1 lo convierten en una base poco sólida, aunque HMAC-SHA1 no esté roto de la misma forma en que lo está un hash SHA-1 puro. Si tienes dudas, empieza con HMAC-SHA256 y cambia solo si un proveedor exige otra cosa. Esta herramienta ofrece los cuatro algoritmos y regenera la firma al instante cuando cambias de uno a otro, para que puedas comparar las salidas lado a lado.

Las discrepancias casi siempre se deben a una diferencia en los datos de entrada, no a un algoritmo roto, porque HMAC es determinista: el mismo mensaje y la misma clave siempre producen la misma firma. Comprueba cuatro cosas. Primero, los bytes exactos del mensaje: firmar un cuerpo JSON ya parseado o reformateado en lugar del payload en bruto es la causa más frecuente. Segundo, el formato de la clave: los proveedores emiten secretos en texto plano, hexadecimal o Base64, y decodificarla mal cambia cada byte. Tercero, la codificación de salida: confirma si esperan hexadecimal o Base64. Cuarto, el algoritmo y cualquier marca de tiempo añadida. Esta herramienta te permite controlar todo eso de forma explícita: introduce la clave como texto, hexadecimal o Base64, elige el algoritmo y selecciona salida en hexadecimal o Base64; luego usa la pestaña Verificar para pegar la firma esperada y confirmar si coincide antes de depurar tu propio código.

Un ataque de repetición (replay) ocurre cuando alguien captura una solicitud firmada válida y la reenvía más tarde para desencadenar la acción de nuevo. Como HMAC es determinista, la firma capturada sigue siendo válida indefinidamente a menos que algo en los datos firmados cambie con el tiempo. La defensa estándar es añadir una marca de tiempo al mensaje antes de firmarlo, de modo que la firma cubra el momento en que se hizo la solicitud. Tu servidor rechaza entonces cualquier solicitud cuya marca de tiempo caiga fuera de una ventana breve, a menudo de unos minutos, lo que hace que una firma repetida quede obsoleta e inútil. Así es exactamente como proveedores como Stripe protegen sus webhooks. Esta herramienta puede añadir una marca de tiempo en época Unix o ISO 8601 a tu mensaje antes de calcular el HMAC, permitiéndote reproducir con precisión la cadena firmada de un proveedor o construir tu propio esquema de firma resistente a repeticiones y probarlo contra tu lógica de verificación.

Una buena regla general es usar una clave criptográficamente aleatoria de al menos 256 bits, es decir, 32 bytes, y una clave de la misma longitud que la salida del hash es una opción por defecto sólida: 32 bytes para HMAC-SHA256, 64 bytes para HMAC-SHA512. La longitud importa menos que la aleatoriedad: una frase corta, adivinable o elegida por una persona debilita el HMAC sin importar con qué algoritmo la combines, porque toda la garantía de seguridad descansa en que el atacante no pueda encontrar la clave. Claves mucho más largas que el tamaño de bloque interno del hash se reducen primero mediante hashing y no aportan fuerza adicional. Esta herramienta incluye botones de un solo clic para generar una clave aleatoria de 16, 32 o 64 bytes usando el generador de números aleatorios seguro de tu navegador, de modo que puedas crear un secreto del tamaño adecuado sin recurrir a la línea de comandos, y firmar con ella de inmediato.