Generador HMAC — SHA-1, SHA-256, SHA-384 y SHA-512
Genera un HMAC para cualquier mensaje y clave secreta con SHA-1, SHA-256, SHA-384 o SHA-512. Salida en hex o Base64, calculado por completo en tu navegador.
🔒 Funciona por completo en tu navegador. Tu entrada y salida no se envían a ningún servidor ni se guardan: totalmente privado.
Calculado en tu navegador con la Web Crypto API: no se envía nada.
Acerca de esta herramienta
Calcula un HMAC (un hash con clave) para cualquier mensaje y clave secreta, eligiendo entre SHA-1, SHA-256, SHA-384 o SHA-512 y obteniendo el resultado en hexadecimal o Base64. Los HMAC son la forma en que las API firman webhooks y confirman que una petición proviene realmente de alguien que posee la clave compartida. La firma se calcula con la API Web Crypto del navegador, así que el mensaje y la clave que introduces nunca salen de tu dispositivo: ideal para probar firmas de webhooks y autenticación de API.
Preguntas frecuentes
¿Qué es un HMAC y cuándo se usa?
Un HMAC (código de autenticación de mensajes basado en hash) combina un mensaje con una clave secreta para producir una firma. Cualquiera que tenga la misma clave puede recalcular esa firma y confirmar que el mensaje no se alteró y procede de un remitente de confianza. Se usa mucho para firmar peticiones de API, validar webhooks entrantes de servicios como Stripe o GitHub y proteger tokens frente a manipulaciones.
¿Puedo recuperar el mensaje original a partir de un HMAC?
No. Un HMAC es un hash unidireccional, no un cifrado, por lo que no hay forma de revertirlo al mensaje original. Tampoco puedes calcularlo ni verificarlo sin la clave secreta, y precisamente esa clave es lo que hace que la firma sea fiable. Para comprobar un HMAC, lo recalculas a partir del mismo mensaje y la misma clave y compruebas que ambos valores coincidan exactamente.
¿Se envían mi mensaje y mi clave a un servidor?
No. El HMAC se calcula por completo en tu navegador con la API Web Crypto, así que el mensaje que escribes y la clave secreta que introduces nunca se suben, registran ni almacenan. Puedes experimentar con claves de firma reales sin riesgo, aunque, como hábito general, conviene evitar introducir secretos de producción en cualquier ordenador compartido o público.