Generador HMAC (Base64)

Cómo calcular un HMAC en Base64

1. El modo HMAC y SHA-256 vienen seleccionados. Elige otro en Algoritmo si tu API usa SHA-1, SHA-384, SHA-512 o MD5.
2. Introduce la Clave secreta y ajusta La clave es: Texto (UTF-8) para una cadena secreta normal, Hex o Base64 si la clave viene como bytes codificados.
3. Escribe o pega el mensaje en Texto, o cambia Entrada a Archivo y suelta el archivo exacto de la carga útil.
4. Copia la firma en Base64, Base64URL o hex. Todos los algoritmos muestra a la vez el HMAC con cada hash, algo útil cuando la documentación no deja claro cuál se usa.

Se acepta una clave vacía, que también da un resultado, con un aviso de que un HMAC así no protege nada.

Valores de ejemplo

Con la clave key y el mensaje The quick brown fox jumps over the lazy dog:

El valor HMAC-SHA256 en hex es f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8, el conocido vector de prueba del artículo de Wikipedia sobre HMAC. La codificación de la clave cambia el resultado: el texto a2V5 usado como clave da 5O+7AtpguFrgIRw1qXGU+m0OaTs1oV1kwRQ/hI1WAUE=, mientras que a2V5 leído como Base64 son los bytes de key y vuelve a dar 97yD9DBT….

Firmas de webhooks: Base64 o hex

Los proveedores coinciden en HMAC, pero no en la codificación de la salida ni en qué se firma. Algunos ejemplos bien documentados:

Si un valor de esta herramienta coincide con el hex pero tu código compara Base64, o al revés, el cálculo es correcto y solo difiere la codificación. Revisa en la documentación del proveedor qué se firma; los prefijos con marca de tiempo existen para impedir que se reenvíen peticiones antiguas.

Verificar una firma en código

Compara los bytes en bruto en tiempo constante y asegúrate de calcular el hash del cuerpo tal como se recibió:

const crypto = require("crypto");

function verifyWebhook(rawBody, secret, signatureHeader) {
  const expected = crypto.createHmac("sha256", secret).update(rawBody).digest();
  const given = Buffer.from(signatureHeader, "base64");
  return given.length === expected.length && crypto.timingSafeEqual(given, expected);
}

Con rawBody como el Buffer de la frase del zorro, el secreto key y el valor Base64 de la tabla, devuelve true. Si le pasas JSON.stringify(JSON.parse(body)) en lugar del cuerpo en bruto, devuelve false en cuanto el JSON del proveedor tenga un espacio que tu serializador elimina. En Express, eso significa leer el cuerpo con express.raw() en la ruta del webhook.

El equivalente en Python usa hmac.new(key, body, hashlib.sha256).digest(), lo codifica en Base64 y lo comprueba con hmac.compare_digest. En la línea de comandos, openssl dgst -sha256 -hmac 'key' -binary | base64 da el mismo Base64; usa -mac HMAC -macopt hexkey:… cuando la clave está en hex. Para una clave fuerte, el preset de secreto HMAC del generador de claves Base64 crea 32 bytes aleatorios. Para tokens firmados en lugar de peticiones firmadas, consulta el codificador JWT.

Preguntas frecuentes