Elysia Tools

Explora herramientas, ejemplos, explicaciones visuales y guías temáticas en un solo espacio claro.

Categorías populares

Temas

Idioma
ZHESPTRUFRDEEN

Elysia Tools

Navegación

Security

Generador y Verificador HMAC

· Última actualización：2026-06-23

Calcula una firma HMAC sobre un mensaje + secreto con SHA-1/SHA-2/SHA-3/BLAKE2, o verifica una firma entrante (comparación en tiempo constante), con presets para Stripe / Slack / GitHub

Detalles

Qué te ayuda a hacer esta herramienta

HMAC (código de autenticación basado en hash) demuestra que un mensaje lo envió quien conoce el secreto compartido y no fue alterado — es el mecanismo estándar de webhooks de Stripe, Slack, GitHub, Shopify, etc.

Dos modos:

  • Generar: pega el cuerpo crudo y tu secreto, elige algoritmo (SHA-1/256/384/512, SHA3-256/512, BLAKE2s-256, BLAKE2b-512) y codificación (hex/base64/base64url).
  • Verificar: además pega la firma recibida en la cabecera; el工具 recalcula el HMAC y compara en tiempo constante con crypto.timingSafeEqual.

Los presets de webhook eligen automáticamente algoritmo, codificación y prefijo para Stripe / Slack / GitHub, y documentan la convención de cada proveedor.

Todo se calcula localmente con crypto de Node; el secreto no sale de la petición.

Ejecución

Ejecutar esta herramienta

Completa el formulario, ejecuta la herramienta y revisa el resultado en un solo lugar.

Ejemplos

Ejemplos que encajan con esta herramienta

Relacionado

Continuar con herramientas y temas relacionados

Escrito por el equipo de Elysia Tools
API35

Guía de uso de la herramienta

Conoce cuándo usar esta herramienta, qué admite y cómo la aplican los usuarios.

Datos clave

Categoría
Security
Tipos de entrada
textarea, text, select
Tipo de salida
html
Cobertura de ejemplos
4
API disponible
Sí

Resumen

Esta herramienta te permite generar y verificar firmas HMAC (Código de Autenticación de Mensajes basado en Hash) de forma segura y local. Soporta algoritmos como SHA-256, SHA-512 y BLAKE2, ofreciendo presets específicos para validar webhooks de Stripe, Slack y GitHub mediante comparaciones seguras en tiempo constante.

Cuándo usarlo

  • Cuando necesitas validar la autenticidad de un webhook entrante de Stripe, Slack o GitHub antes de procesar su contenido en tu servidor.
  • Al depurar integraciones de API que requieren firmas criptográficas HMAC para asegurar que los datos no hayan sido alterados en tránsito.
  • Para generar firmas HMAC de prueba durante el desarrollo de endpoints de API que implementan autenticación basada en secretos compartidos.

Cómo funciona

  1. 1Introduce el cuerpo crudo del mensaje (payload) y la clave secreta compartida en los campos correspondientes.
  2. 2Selecciona el algoritmo de hash (como SHA-256) y la codificación de salida (hexadecimal, base64 o base64url), o elige un preset preconfigurado.
  3. 3Si estás verificando, introduce la firma recibida en la cabecera para compararla en tiempo constante usando crypto.timingSafeEqual y evitar ataques de canal lateral.

Casos de uso

  • Verificación manual de firmas de webhooks de Stripe durante pruebas locales con herramientas como ngrok.
  • Generación de firmas HMAC-SHA256 para simular peticiones firmadas en entornos de pruebas de integración de APIs.
  • Comprobación rápida de firmas sospechosas o fallidas para diagnosticar discrepancias de codificación o formato en payloads de Slack.

Ejemplos

1. Verificación de Webhook de Stripe

Desarrollador Backend

Contexto

Un desarrollador está integrando pagos con Stripe y recibe un webhook de evento, pero su código local rechaza la firma con un error de autenticación.

Problema

Confirmar si el payload recibido coincide exactamente con la firma Stripe-Signature enviada en la cabecera.

Cómo usarlo

Pega el JSON crudo del webhook en el campo de mensaje, introduce la clave secreta de Stripe, selecciona el modo 'Verificar contra firma', activa el preset de Stripe y pega la firma recibida.

{
  "mode": "verify",
  "algorithm": "sha256",
  "encoding": "hex",
  "preset": "stripe"
}

Resultado

La herramienta recalcula el HMAC y confirma si coincide con la firma provista, ayudando a identificar si el problema era un desfase en el payload o una clave incorrecta.

2. Generación de Firma para API Personalizada

Ingeniero de Integraciones

Contexto

Se requiere enviar una petición HTTP POST firmada a un socio comercial que exige autenticación HMAC-SHA512 codificada en Base64.

Problema

Generar la firma correcta a partir de un cuerpo de petición JSON y una clave secreta compartida para incluirla en la cabecera de autorización.

Preguntas frecuentes

¿Por qué es importante usar el cuerpo crudo del mensaje para calcular el HMAC?

Cualquier cambio en los espacios en blanco o el orden de las propiedades del JSON altera el hash resultante, rompiendo la validación de la firma.

¿Qué algoritmos de hash soporta esta herramienta?

Soporta SHA-1, SHA-2 (SHA-256, SHA-384, SHA-512), SHA-3 (SHA3-256, SHA3-512) y BLAKE2 (BLAKE2s-256, BLAKE2b-512).

¿Cómo protege esta herramienta mi secreto compartido?

Todos los cálculos criptográficos se realizan localmente en tu navegador mediante la API de Node.js, por lo que el secreto nunca se transmite a servidores externos.

¿Qué hace la comparación en tiempo constante?

Evita ataques de temporización (timing attacks) al comparar las firmas carácter por carácter empleando el mismo tiempo de ejecución, independientemente de dónde difieran.

¿Qué proveedores de webhooks tienen presets listos?

La herramienta incluye configuraciones automáticas para Stripe, Slack y GitHub, ajustando el algoritmo, la codificación y los prefijos requeridos.

Tema

Flujo autorizado para probar JWT, OTP, TOTP y sesiones

Prepara fixtures de autenticación saneados, separa generar tokens de decodificarlos y verificarlos, prueba el tiempo de OTP/TOTP y audita evidencias JWT y de sesión sin exponer secretos reales.

Tema

Herramientas para Revisar el Formato, Preparar el Replay y Depurar APIs

Revisa la estructura, prepara un replay local, compara respuestas y reúne pistas de depuración. El análisis y la generación son locales y no sustituyen la autenticación real ni las pruebas del servidor.

Inicio
Herramientas3201
Ejemplos593
Visualizaciones465
Visores de archivos103
Temas233
Etiquetas333
Imágenes, audio y video657

Herramientas de procesamiento, conversión y optimización de imágenes, audio y video

Matemáticas, fechas y finanzas644

Calculadoras, herramientas numéricas, lógica de fechas, estadística y finanzas

Diseño y color297

Herramientas de color, maquetación, gráficos, estilo visual y apoyo al diseño

Texto y redacción209

Herramientas de redacción, limpieza, formato, extracción y análisis de texto

Desarrollo y Web193

Utilidades para desarrolladores, red, depuración web y automatización

Conversión y codificación175

Herramientas de conversión de formatos, archivos, unidades, archivos comprimidos y codificación

Revisión de fuentes FLAC/WAV y entrega de evidencias
Revisión e integración de un componente de sorteos autoalojado
Revisión de lotes de códigos Stripe y comprobación previa a la importación
Revisión del descarte fotográfico y entrega de candidatos para edición
Estructurar una captura de interfaz, revisarla y entregarla a desarrollo

© 2026 Elysia Tools. Todos los derechos reservados.

DocumentaciónPreciosAcerca deTérminos de servicioPolítica de privacidadCookiesContacto
Java

Ejemplos de Procesamiento de Imágenes Android Java

Ejemplos de procesamiento de imágenes Android Java incluyendo lectura/escritura, escalado y conversión de formato

Kotlin

Ejemplos de Procesamiento de Imágenes Android Kotlin

Ejemplos de procesamiento de imágenes Android Kotlin incluyendo lectura/escritura, escalado y conversión de formato

Python

Ejemplos de Procesamiento de Imágenes Web Python

Ejemplos de procesamiento de imágenes Web Python usando PIL/Pillow incluyendo lectura, guardado, redimensionamiento y conversión de formato

Rust

Ejemplos de Procesamiento de Imágenes Web Rust

Ejemplos de procesamiento de imágenes Web Rust incluyendo lectura/escritura, escalado y conversión de formato

Security

Generador de PKCE Code Verifier y Challenge

Genera, valida y verifica pares code_verifier / code_challenge PKCE (RFC 7636) de OAuth2 / OIDC. Tres modos: (1) generar un par nuevo a partir de bytes aleatorios criptográficos (256/384/512/768 bits), (2) auditar un verifier existente frente al RFC — longitud (43–128), charset [A-Za-z0-9-._~] y ≥256 bits de entropía, y (3) verificar un par recomputando BASE64URL(SHA256(verifier)). Opcionalmente construye la URL completa de autorización y el cuerpo del intercambio de token. Complementa al nonce-genérico (que solo emite el par) con auditoría de cumplimiento RFC y verificación de pares.

Security

Generador de par de claves SSH

Genera un par de claves SSH (Ed25519 recomendado, o RSA 4096, ECDSA P-256) con la clave pública en formato OpenSSH lista para ~/.ssh/authorized_keys, una huella SHA256 y una clave privada PEM. Cifrado opcional con contraseña. Se ejecuta localmente.

Security

Generador de códigos TOTP / HOTP sin conexión

Genera contraseñas de un solo uso TOTP RFC 6238 (6/8 dígitos, 30/60 s) y HOTP RFC 4226 (por contador) a partir de un secreto base32, sin conexión, con HMAC-SHA1/256/512, y exporta una URI otpauth://

Security

Generador de frases mnemónicas BIP39

Genera o valida frases BIP39 de 12 a 24 palabras con salida de entropía y seed PBKDF2-HMAC-SHA512

Cómo usarlo

Pega el cuerpo del JSON en el campo de mensaje, introduce la clave secreta, selecciona el modo 'Solo generar', elige el algoritmo 'SHA-512' y la codificación 'Base64'.

{
  "mode": "generate",
  "algorithm": "sha512",
  "encoding": "base64",
  "preset": "none"
}

Resultado

Se obtiene la firma HMAC-SHA512 en formato Base64 lista para ser copiada y pegada en la cabecera de la petición HTTP.