Generador HMAC-SHA1
Calcule una etiqueta HMAC-SHA1 a partir de un mensaje y una clave secreta. La herramienta codifica ambos como UTF-8, aplica la construcción HMAC de RFC 2104 con SHA-1 y devuelve el resultado de 160 bits como 40 caracteres hexadecimales o en Base64. Es útil para desarrolladores que trabajan con firmas OAuth 1.0a, componentes internos de TOTP, webhooks antiguos y API heredadas que aún firman con HMAC-SHA1. Su clave permanece en la solicitud.
Preguntas frecuentes
¿Qué es HMAC-SHA1?
HMAC-SHA1 es un código de autenticación de mensajes que combina SHA-1 con una clave secreta, de acuerdo con RFC 2104. La etiqueta tiene 20 bytes y se muestra como 40 caracteres hexadecimales o 28 caracteres Base64.
¿Sigue siendo seguro HMAC-SHA1 aunque SHA-1 esté comprometido?
Las colisiones de SHA-1 no rompen HMAC-SHA1, porque la seguridad de HMAC depende de otras propiedades de la función hash. HMAC-SHA1 sigue considerándose aceptable para sistemas existentes. Para diseños nuevos, prefiera HMAC-SHA256.
¿Cuál es un vector de prueba conocido para HMAC-SHA1?
El caso de prueba 2 de RFC 2202 usa la clave Jefe y el mensaje what do ya want for nothing?; el resultado esperado es effcdf6ae5eb2fa2d27416d5f184df9c259a7c79. Esta herramienta devuelve esa etiqueta.
¿Cómo creo una firma OAuth 1.0a?
Use como mensaje la cadena base de la firma y como clave el secreto del consumidor y el secreto del token unidos por un ampersand. Elija la salida Base64 y luego codifique el resultado con percent-encoding para el encabezado Authorization.
¿TOTP usa HMAC-SHA1?
Sí. La mayoría de las aplicaciones de autenticación calculan HMAC-SHA1 sobre un contador de tiempo de 8 bytes con un secreto decodificado de Base32. Como esa clave y ese contador son binarios, esta herramienta basada en texto no puede reproducir un código TOTP directamente.
¿Cómo se codifican la clave y el mensaje?
Ambos se convierten a bytes UTF-8 exactamente como se escriben. Los espacios en blanco ocultos, un final de línea distinto o una clave que debe decodificarse desde hexadecimal o Base64 suelen causar discrepancias.
¿Se devuelve mi clave en el resultado?
No. La respuesta solo contiene la etiqueta y las opciones no secretas. La clave no se registra ni se almacena.
¿Qué formato de salida debo seleccionar?
Use hexadecimal si la otra parte muestra una cadena en minúsculas de 40 caracteres, y Base64 si muestra 28 caracteres que terminan en =. Ambos representan los mismos 20 bytes.
¿Puedo usar una clave vacía?
Sí, HMAC admite una clave vacía y la herramienta la calcula. Una clave vacía no ofrece protección, así que úsela solo para comparar con vectores de prueba u otras herramientas.
¿Cuál puede ser la longitud máxima del mensaje?
El mensaje y la clave juntos pueden tener hasta 5 MiB de texto por solicitud. La etiqueta se calcula de inmediato y ninguna de las dos entradas se almacena.