Elysia Tools

Durchsuche Tools, Beispiele, visuelle Erklärungen und Themenguides an einem klaren Ort.

Beliebte Kategorien

Themen

Sprache
ZHESPTRUFRDEEN

Elysia Tools

Mobile Navigation

Security

HMAC Generator & Verifier

· Zuletzt aktualisiert：2026-06-23

Berechnet eine HMAC-Signatur über Nachricht + Shared Secret mit SHA-1/SHA-2/SHA-3/BLAKE2 oder prüft eine eingehende Signatur (Vergleich in konstanter Zeit) mit Presets für Stripe / Slack / GitHub

Einzelheiten

Wobei dieses Tool hilft

HMAC (hashbasierter Message Authentication Code) belegt, dass eine Nachricht von jemandem stammt, der das Shared Secret kennt, und nicht verändert wurde — der Standard-Signaturmechanismus hinter Stripe-, Slack-, GitHub-, Shopify-Webhooks.

Zwei Modi:

  • Erzeugen: Rohtext + Secret einfügen, Algorithmus wählen (SHA-1/256/384/512, SHA3-256/512, BLAKE2s-256, BLAKE2b-512) und Kodierung (hex/base64/base64url).
  • Prüfen: zusätzlich die Signatur aus dem Webhook-Header einfügen; das Tool berechnet den HMAC neu und vergleicht in konstanter Zeit via crypto.timingSafeEqual.

Webhook-Presets wählen automatisch Algorithmus, Kodierung und Präfix für Stripe / Slack / GitHub und dokumentieren die jeweilige Signaturkonvention.

Alles wird lokal mit Node crypto berechnet; das Secret verlässt den Request nicht.

Ausführung

Dieses Tool ausführen

Fülle das Formular aus, starte das Tool und prüfe das Ergebnis an einem Ort.

Beispiele

Beispiele zu diesem Tool

Verwandt

Mit verwandten Tools und Themen fortfahren

Verfasst vom Elysia Tools Team
API35

Leitfaden zur Tool-Nutzung

Erfahren Sie, wann dieses Tool passt, was es unterstützt und wie Nutzer es anwenden.

Wichtige Fakten

Kategorie
Security
Eingabetypen
textarea, text, select
Ausgabetyp
html
Sample-Abdeckung
4
API bereit
Ja

Überblick

Der HMAC Generator & Verifier ermöglicht es Ihnen, HMAC-Signaturen über Nachrichten und Shared Secrets mit Algorithmen wie SHA-256, SHA-3 oder BLAKE2 lokal zu berechnen oder eingehende Webhook-Signaturen in konstanter Zeit sicher zu verifizieren.

Wann verwenden

  • Wenn Sie Webhooks von Plattformen wie Stripe, GitHub oder Slack empfangen und deren Authentizität lokal überprüfen müssen.
  • Wenn Sie für Ihre eigene API-Schnittstelle HMAC-Signaturen zur Absicherung von Anfragen generieren möchten.
  • Wenn Sie Signaturen vergleichen müssen, ohne sich dem Risiko von Timing-Angriffen (Timing Attacks) auszusetzen.

So funktioniert es

  1. 1Wählen Sie den Modus (Erzeugen oder Signatur prüfen) und geben Sie den exakten Rohtext der Nachricht sowie das Shared Secret ein.
  2. 2Wählen Sie den gewünschten Hash-Algorithmus (z. B. SHA-256) und das Kodierungsformat (Hex, Base64 oder Base64url) oder nutzen Sie ein Webhook-Preset.
  3. 3Bei der Verifizierung geben Sie die empfangene Signatur an; das Tool vergleicht diese in konstanter Zeit mittels crypto.timingSafeEqual mit dem berechneten Wert.

Anwendungsfälle

  • Lokales Testen und Debuggen von Webhook-Integrationen während der Softwareentwicklung.
  • Manuelles Generieren von API-Signaturen für Test-Requests an geschützte Endpunkte.
  • Überprüfung der Signatur-Implementierung eigener APIs durch Abgleich der berechneten HMAC-Werte.

Beispiele

1. Stripe-Webhook-Signatur verifizieren

Backend-Entwickler

Hintergrund

Ein Entwickler integriert Stripe-Zahlungen und möchte sicherstellen, dass die empfangenen Webhooks tatsächlich von Stripe stammen, bevor er sie verarbeitet.

Aufgabe

Die empfangene Signatur im Header muss mit dem rohen JSON-Body und dem Stripe-Webhook-Secret abgeglichen werden.

Verwendung

Wählen Sie das Preset 'Stripe', fügen Sie den rohen JSON-Body der Stripe-Benachrichtigung in das Nachrichtenfeld ein, tragen Sie das Webhook-Secret ein, wählen Sie den Modus 'Signatur prüfen' und fügen Sie die Signatur aus dem Header ein.

Mode: verify, Preset: stripe, Algorithm: sha256, Encoding: hex

Ergebnis

Das Tool berechnet den HMAC-SHA-256 und vergleicht ihn in konstanter Zeit mit der bereitgestellten Signatur, um die Gültigkeit zu bestätigen.

2. HMAC-SHA-256 Signatur für API-Request erzeugen

API-Integrationsspezialist

Hintergrund

Für den Zugriff auf eine geschützte Partner-API muss jede Anfrage mit einer HMAC-SHA-256-Signatur im Hex-Format versehen werden.

Aufgabe

Es wird eine gültige Signatur für einen Test-Request-Body benötigt, um die API-Verbindung manuell zu testen.

FAQ

Was ist ein HMAC?

Ein HMAC (Hash-based Message Authentication Code) ist ein kryptografischer Code, der die Integrität und Authentizität einer Nachricht mithilfe eines geheimen Schlüssels sichert.

Warum ist der Signaturvergleich in konstanter Zeit wichtig?

Er verhindert Timing-Angriffe, bei denen Angreifer durch Messung der Antwortzeit Zeichen für Zeichen der korrekten Signatur erraten können.

Werden meine Secrets an einen Server übertragen?

Nein, alle Berechnungen und Verifizierungen finden vollständig lokal in Ihrem Browser statt; das Secret verlässt Ihren Rechner nicht.

Warum schlägt die Verifizierung meines Webhooks fehl?

Häufig liegt es an minimalen Abweichungen im Request-Body. Verwenden Sie immer den exakten, unformatierten Rohtext der Nachricht.

Welche Webhook-Presets werden unterstützt?

Das Tool bietet vorkonfigurierte Einstellungen für Stripe, Slack und GitHub, die Algorithmus, Kodierung und Präfixe automatisch anpassen.

Thema

Autorisierter Test-Workflow für JWT, OTP, TOTP und Sitzungen

Erstellen Sie bereinigte Auth-Fixtures, trennen Sie Token-Erzeugung von Dekodierung und Prüfung, testen Sie OTP/TOTP-Zeitverhalten und auditieren Sie JWT- und Sitzungshinweise ohne echte Geheimnisse offenzulegen.

Thema

Werkzeuge für Request-Formatprüfung, Replay-Vorbereitung und API-Debugging

Prüfen Sie die Struktur, bereiten Sie ein lokales Replay vor, vergleichen Sie Antworten und sammeln Sie Debugging-Hinweise. Lokale Analyse und Generierung ersetzen weder echte Authentifizierung noch Servertests.

Start
Werkzeuge3201
Beispiele593
Visualisierungen465
Dateibetrachter103
Themen233
Schlagwörter333
Bilder, Audio & Video657

Werkzeuge für Bild-, Audio- und Videobearbeitung, Konvertierung und Optimierung

Mathe, Datum & Finanzen644

Rechner, Zahlenwerkzeuge, Datumslogik, Statistik und Finanztools

Design & Farbe297

Werkzeuge für Farben, Layouts, Grafiken, visuelle Gestaltung und Designhilfen

Text & Schreiben209

Werkzeuge für Schreiben, Bereinigung, Formatierung, Extraktion und Textanalyse

Entwicklung & Web193

Entwicklerwerkzeuge, Netzwerk-Utilities, Web-Debugging und Automatisierungshelfer

Konvertierung & Kodierung175

Werkzeuge für Format-, Datei-, Archiv-, Einheiten- und Kodierungskonvertierung

FLAC/WAV-Quellen prüfen und Nachweise übergeben
Selbst gehostetes Gewinnspiel-Widget prüfen und zur Einbettung übergeben
Stripe-Codepaket prüfen und lokalen Import vorbereiten
Technische Fotoauswahl prüfen und Kandidaten zur Bearbeitung übergeben
UI-Screenshot strukturieren, prüfen und an die Entwicklung übergeben

© 2026 Elysia Tools. Alle Rechte vorbehalten.

DokumentationTarifeÜber unsNutzungsbedingungenDatenschutzerklärungCookiesKontakt
Java

Android Java Bildverarbeitungsbeispiele

Android Java Bildverarbeitungsbeispiele einschließlich Lesen/Schreiben, Skalierung und Formatkonvertierung

Kotlin

Android Kotlin Bildverarbeitungsbeispiele

Android Kotlin Bildverarbeitungsbeispiele einschließlich Lesen/Schreiben, Skalierung und Formatkonvertierung

Python

Web Python Bildverarbeitung Beispiele

Web Python Bildverarbeitungsbeispiele mit PIL/Pillow einschließlich Lesen, Speichern, Skalieren und Formatkonvertierung

Rust

Web Rust Bildverarbeitungsbeispiele

Web Rust Bildverarbeitungsbeispiele einschließlich Lesen/Schreiben, Skalierung und Formatkonvertierung

Security

PKCE Code Verifier & Challenge Generator

Erzeugt, validiert und verifiziert OAuth2-/OIDC-PKCE (RFC 7636) Code-Verifier-/Challenge-Paare. Drei Modi: (1) ein frisches Paar aus kryptografisch sicheren Zufallsbytes (256/384/512/768 Bit) erzeugen, (2) einen eigenen Verifier gegen den RFC prüfen — Länge (43–128), Zeichensatz [A-Za-z0-9-._~] und ≥256 Bit Entropie, und (3) ein Paar verifizieren durch Neuberechnung von BASE64URL(SHA256(verifier)). Optional werden die vollständige Autorisierungs-URL und der Token-Austausch-Body gebaut. Ergänzt den generischen Nonce-Generator (der nur das Paar ausgibt) um RFC-Konformitäts-Audit und Paar-Verifikation.

Security

SSH-Schlüsselpaar-Generator

Erzeugt ein SSH-Schlüsselpaar (Ed25519 empfohlen, oder RSA 4096, ECDSA P-256) mit öffentlichem Schlüssel im OpenSSH-Format für ~/.ssh/authorized_keys, einem SHA256-Fingerabdruck und einem PEM-Privatschlüssel. Optionale Passphrase-Verschlüsselung. Läuft lokal.

Security

Offline TOTP / HOTP Code-Generator

Erzeugt Einmalpasswörter TOTP RFC 6238 (6/8 Ziffern, 30/60 s) und HOTP RFC 4226 (zählerbasiert) aus einem base32-Secret, offline, mit HMAC-SHA1/256/512, und exportiert eine otpauth://-URI

Security

BIP39-Mnemonik-Generator

Erzeugt oder prueft BIP39-Phrasen mit 12 bis 24 Woertern samt Entropie und PBKDF2-HMAC-SHA512-Seed

Verwendung

Geben Sie den Request-Body in das Nachrichtenfeld ein, tragen Sie das API-Secret ein, wählen Sie den Modus 'Nur erzeugen', den Algorithmus 'SHA-256' und die Kodierung 'Hex'.

Mode: generate, Algorithm: sha256, Encoding: hex

Ergebnis

Sie erhalten die berechnete HMAC-Signatur als Hex-String, die direkt im Autorisierungs-Header des API-Requests verwendet werden kann.