# Auditeur de constructions MAC : HMAC + BLAKE3 + SHA-3/Keccak + Poly1305 + BLAKE2 à clé Calcule et audite des MAC sur HMAC-SHA-2/SHA-3, BLAKE2 à clé, BLAKE3, KMAC et Poly1305 avec autotests officiels à réponse connue, contrôle des longueurs clé/étiquette et matrice de compatibilité inter-constructions. > Page canonique: https://elysiatools.com/fr/tools/hmac-blake3-sha3-keccak-keyed-hash-and-mac-construction-linter - **Catégorie:** Cryptography - **Mots-clés:** audit hmac, construction mac, blake2 à clé, blake3 hachage à clé, kmac, cshake, poly1305 à usage unique, sha3 keccak, vecteurs rfc 4231, troncature d étiquette ## Présentation Chaque étiquette est produite par une implémentation vérifiée : HMAC via OpenSSL dans node:crypto ; BLAKE2/BLAKE3/KMAC/Poly1305 en TypeScript pur, confrontés au KAT officiel BLAKE2, aux vecteurs officiels BLAKE3, aux échantillons NIST SP 800-185, à la RFC 8439 §2.5.2 et à FIPS 202. Les niveaux de sécurité suivent NIST SP 800-107 (force HMAC = min(bits de clé, bits de sortie), borne de falsification 2^(t/2)) et SP 800-185 (KMAC = min(clé, 2·étiquette, c/2) bits). ## Entrées - **Message** (textarea): Payload to authenticate (e.g. webhook body, JWT signing input) - **Encodage du message** (select) - **Clé (hexadécimal)** (text): e.g. 0b0b0b... (20 bytes) or 000102...1f (32 bytes) - **Longueur d’étiquette conservée (octets)** (number) - **Étiquette de séparation de domaine (KMAC custom / contexte BLAKE3)** (text): e.g. myapi/v1/webhook ## Quand l'utiliser - Lors de la validation d'une implémentation de signature d'API ou de webhook utilisant HMAC, KMAC ou BLAKE3. - Pour auditer l'impact de sécurité d'une troncature d'étiquette MAC selon les recommandations NIST SP 800-107 et SP 800-185. - Avant de migrer un schéma d'authentification de messages vers une construction moderne à haute performance comme BLAKE3 ou Poly1305. ## Fonctionnement - Saisissez la charge utile en texte brut UTF-8 ou en octets hexadécimaux ainsi que votre clé secrète au format hexadécimal. - Définissez les paramètres optionnels tels que la longueur d'étiquette conservée en octets et l'étiquette de séparation de domaine (KMAC ou BLAKE3 derive_key). - L'outil exécute simultanément les différentes constructions cryptographiques et lance 11 autotests à réponse connue (KAT) pour certifier les résultats. - Consultez le rapport d'audit détaillé présentant les étiquettes générées, les bits de sécurité effectifs, les alertes de troncature et la matrice comparative. ## Cas d'usage - Vérification des signatures de requêtes webhook inter-services avec calcul multi-algorithmes. - Dimensionnement de la troncature des identifiants d'intégrité de jetons ou d'en-têtes réseau. - Comparaison de conformité NIST et RFC lors de revues d'architecture cryptographique. ## Questions fréquentes ### Pourquoi certaines constructions comme BLAKE3 ou Poly1305 sont-elles ignorées ? BLAKE3 en mode hachage à clé et Poly1305 imposent strictement une clé secrète de 32 octets (256 bits) ; ils sont ignorés si la clé fournie a une autre longueur. ### Comment est calculée la force de sécurité d'une étiquette HMAC tronquée ? Conformément au NIST SP 800-107, la borne de falsification pour une étiquette tronquée à t bits est de 2^(t/2), et la force globale est min(bits de clé, bits de sortie). ### À quoi sert l'étiquette de séparation de domaine ? Elle configure la chaîne de personnalisation (customization string) dans KMAC (NIST SP 800-185) ou le contexte de dérivation de sous-clé dans BLAKE3 afin d'éviter les attaques par collision inter-protocoles. ### Quelle est la particularité d'utilisation de Poly1305 ? Poly1305 est un MAC à usage unique (one-time authenticator) selon la RFC 8439 : une clé de 32 octets ne doit jamais être réutilisée pour authentifier deux messages distincts. ### Quels autotests officiels (KAT) sont vérifiés par l'outil ? Le moteur valide ses calculs contre la RFC 4231 (HMAC-SHA-2), le KAT officiel BLAKE2, les vecteurs de référence BLAKE3, les échantillons NIST SP 800-185 (KMAC), la RFC 8439 (Poly1305) et FIPS 202. ## Outils associés - [Comparateur d’algorithmes de hachage](https://elysiatools.com/fr/tools/hash-algorithm-comparator): Hache la même entrée avec MD5, SHA-1, SHA-256, SHA-512, BLAKE2b et BLAKE3 et les compare : longueur, digest hex/Base64, statut de sécurité (cassé/moderne) et benchmark de vitesse relatif. Idéal pour l’enseignement, le choix d’algorithme ou la vérification de checksums. - [Générateur de hash de texte](https://elysiatools.com/fr/tools/text-hash-generator): Calcule MD5, SHA-1, SHA-256, SHA-512 et CRC-32 de tout texte d'un coup. Renvoie hex et Base64 sur l'encodage UTF-8. - [Simulateur de signatures à seuil BLS (Boneh–Lynn–Shacham) + génération distribuée de clés](https://elysiatools.com/fr/tools/bls-boneh-lynn-shacham-threshold-signature-aggregation-distributed-key-gen-simulator): Simule BLS12-381 de bout en bout : cérémonies Joint-Feldman DKG, signatures à seuil t-sur-n par interpolation de Lagrange, attaque à clé voyou et sa défense par preuve de possession, et agrégation d’attestations Ethereum 2. - [Visualiseur du flux OAuth 2.0 / OIDC à code d’autorisation avec PKCE](https://elysiatools.com/fr/tools/oauth-oidc-authorization-code-pkce-flow-visualizer): Simule de bout en bout le flux à code d’autorisation avec PKCE : génération verifier/challenge, URL d’autorisation, échange de token, liste de validation de l’ID Token et démonstration d’attaque par interception. - [Générateur de PKCE Code Verifier et Challenge](https://elysiatools.com/fr/tools/pkce-code-verifier-generator): Génère, valide et vérifie les paires code_verifier / code_challenge PKCE (RFC 7636) OAuth2 / OIDC. Trois modes : (1) générer une nouvelle paire depuis des octets aléatoires cryptographiques (256/384/512/768 bits), (2) auditer un verifier existant selon le RFC — longueur (43–128), charset \[A-Za-z0-9-._~\] et ≥256 bits d'entropie, et (3) vérifier une paire en recalculant BASE64URL(SHA256(verifier)). Construit en option l'URL complète de requête d'autorisation et le corps d'échange de token. Complète le nonce-generator générique (qui n'émet que la paire) avec l'audit de conformité RFC et la vérification de paire. - [Chiffrement / Déchiffrement RSA](https://elysiatools.com/fr/tools/rsa-encrypt-decrypt): Chiffre du texte avec une clé publique RSA ou déchiffre le texte chiffré avec la clé privée correspondante, en utilisant le padding OAEP (SHA-1 ou SHA-256). Gère les longs messages par blocs. Les clés et données restent locales. PKCS#1 v1.5 n'est pas proposé (Node le désactive pour le déchiffrement à cause des attaques Bleichenbacher). - [Encodeur Web Push : requête RFC 8030 + VAPID + chiffrement RFC 8291](https://elysiatools.com/fr/tools/web-push-rfc8030-vapid-rfc8291-payload-encrypted-content-encoder): Encode un envoi Web Push complet : chiffrement aes128gcm (RFC 8291), JWT ES256 VAPID (RFC 8292), en-têtes RFC 8030, correspondance APNs/FCM et vérification par déchiffrement aller-retour. - [Somme de contrôle CRC32](https://elysiatools.com/fr/tools/crc32-checksum): Calcule la somme CRC32 (polynôme IEEE 802.3) de tout texte ou octets. Sortie en hex, décimal ou binaire. Accepte le texte (UTF-8) ou les octets via hex/base64. ## Exemples - [Exemples d'Adresses MAC](https://elysiatools.com/fr/samples/mac-address): Collection d'adresses MAC dans divers formats pour les tests de validation - [Échantillons Audio MP3 Libres de Droits](https://elysiatools.com/fr/samples/mp3-samples): Collection d'échantillons audio libres de droits pour les tests et le développement, incluant les sons de la nature, la musique de méditation et l'audio ambiant - [Exemples de Traitement d'Images Android Java](https://elysiatools.com/fr/samples/android-image-processing-java): Exemples de traitement d'images Android Java incluant lecture/écriture, mise à l'échelle et conversion de format - [Exemples de Traitement d'Images Android Kotlin](https://elysiatools.com/fr/samples/android-image-processing-kotlin): Exemples de traitement d'images Android Kotlin incluant lecture/écriture, mise à l'échelle et conversion de format