Générateur HMAC en ligne gratuit

Le générateur de HMAC est un outil en ligne gratuit qui crée des signatures HMAC (code d'authentification de message basé sur le hachage) pour l'authentification d'API et la vérification de l'intégrité des données.

Oui, il est entièrement gratuit et ne nécessite aucune inscription. Toute la génération de HMAC se fait côté client dans votre navigateur.

HMAC sert à vérifier à la fois l'intégrité et l'authenticité des messages ; il est couramment utilisé pour l'authentification d'API, les webhooks et les protocoles de communication sécurisée.

Absolument. Le générateur de HMAC traite tout côté client dans votre navigateur. Aucune donnée n'est envoyée ni stockée sur un serveur. Votre contenu reste privé sur votre appareil à tout moment.

Oui, le générateur de HMAC est entièrement adaptatif et fonctionne sur smartphones et tablettes. Vous pouvez l'utiliser sur tout appareil doté d'un navigateur web moderne, sans aucune application à télécharger.

Aucun compte ni inscription n'est nécessaire. Ouvrez simplement le générateur de HMAC dans votre navigateur et commencez à l'utiliser immédiatement. Il n'y a ni page d'inscription ni restriction d'utilisation.

Saisissez simplement votre texte dans le champ prévu à cet effet, ajustez les paramètres selon vos préférences et l'outil le traitera instantanément. Vous pouvez ensuite copier le résultat dans le presse-papiers ou le télécharger.

Le générateur de HMAC fonctionne sur tous les navigateurs modernes, notamment Chrome, Firefox, Safari, Edge et Opera. Pour une expérience optimale, utilisez la dernière version de votre navigateur préféré.

Un simple hachage comme SHA-256 prend un message et produit un condensé de longueur fixe, mais n'importe qui peut le recalculer car aucun secret n'entre en jeu. Cela ne prouve qu'un message n'a pas changé que si vous faites déjà confiance au condensé. HMAC intègre une clé secrète dans le processus de hachage, ce qui prouve à la fois l'intégrité et l'authenticité : la signature n'a pu être produite que par quelqu'un possédant la clé partagée. Un attaquant qui voit votre message ne peut toujours pas forger un HMAC valide sans cette clé, c'est pourquoi les webhooks et la signature d'API s'appuient sur HMAC plutôt que sur un hachage nu. Le nom le reflète d'ailleurs -- HMAC signifie Hash-based Message Authentication Code, un hachage enveloppé autour d'un secret. Cet outil construit le HMAC pour vous : saisissez un message, fournissez votre clé, choisissez un algorithme, puis copiez la signature en hexadécimal ou en Base64.

Pour tout nouveau projet, HMAC-SHA256 est le choix par défaut recommandé et l'algorithme le plus utilisé pour la signature d'API -- Stripe, GitHub et la plupart des fournisseurs modernes l'utilisent. HMAC-SHA384 et HMAC-SHA512 offrent des condensés plus grands (SHA-512 renvoie une sortie de 64 octets) si votre conception exige une marge de sécurité plus large. HMAC-SHA1 n'est inclus que pour la compatibilité avec d'anciens systèmes comme OAuth 1.0 ; il ne faut pas le choisir pour de nouveaux projets, car les faiblesses de SHA-1 face aux collisions en font une base fragile, même si HMAC-SHA1 n'est pas compromis de la même façon qu'un hachage SHA-1 brut. En cas de doute, commencez par HMAC-SHA256 et ne changez que si un fournisseur exige autre chose. Cet outil propose les quatre algorithmes et régénère instantanément la signature quand vous en changez, pour comparer les résultats côte à côte.

Les écarts viennent presque toujours d'une différence dans les données d'entrée plutôt que d'un algorithme défaillant, car HMAC est déterministe -- le même message et la même clé produisent toujours la même signature. Vérifiez quatre points. D'abord, les octets exacts du message : signer un corps JSON reformaté ou reparsé au lieu de la charge utile brute est la cause la plus fréquente. Ensuite, le format de la clé : les fournisseurs délivrent des secrets en texte brut, en hexadécimal ou en Base64, et un mauvais décodage change chaque octet. Troisièmement, l'encodage de sortie : confirmez s'ils attendent de l'hexadécimal ou du Base64. Quatrièmement, l'algorithme et un éventuel horodatage ajouté. Cet outil vous laisse contrôler explicitement tout cela -- saisissez la clé en texte, hexadécimal ou Base64, choisissez l'algorithme et la sortie en hexadécimal ou Base64 -- puis utilisez l'onglet Vérifier pour coller la signature attendue et confirmer si elle correspond avant de déboguer votre propre code.

Une attaque par rejeu consiste à capturer une requête validement signée et à la renvoyer plus tard pour déclencher à nouveau l'action. Comme HMAC est déterministe, la signature capturée reste valide indéfiniment, sauf si quelque chose dans les données signées change avec le temps. La défense standard consiste à ajouter un horodatage au message avant de le signer, afin que la signature couvre le moment de la requête. Votre serveur rejette alors toute requête dont l'horodatage sort d'une courte fenêtre -- souvent quelques minutes -- ce qui rend une signature rejouée obsolète et inutilisable. C'est exactement ainsi que des fournisseurs comme Stripe protègent leurs webhooks. Cet outil peut ajouter un horodatage epoch Unix ou ISO 8601 à votre message avant de calculer le HMAC, ce qui permet de reproduire précisément la chaîne signée d'un fournisseur ou de construire votre propre schéma de signature résistant au rejeu et de le tester face à votre logique de vérification.

Une bonne règle est d'utiliser une clé aléatoire cryptographique d'au moins 256 bits, soit 32 octets, et une clé de la même longueur que la sortie du hachage constitue un choix par défaut solide -- 32 octets pour HMAC-SHA256, 64 octets pour HMAC-SHA512. La longueur compte moins que le caractère aléatoire : une phrase secrète courte, devinable ou choisie par un humain compromet HMAC quel que soit l'algorithme associé, car toute la garantie de sécurité repose sur l'incapacité de l'attaquant à retrouver la clé. Des clés bien plus longues que la taille de bloc interne du hachage sont d'abord hachées et n'apportent aucune force supplémentaire. Cet outil inclut des boutons en un clic pour générer une clé aléatoire de 16, 32 ou 64 octets à l'aide du générateur de nombres aléatoires sécurisé de votre navigateur, afin de créer un secret correctement dimensionné sans passer par la ligne de commande, puis de signer immédiatement avec.