HMAC 생성기

HMAC 생성기 사용 가이드

GitHub·Stripe·Slack·Shopify 같은 서비스는 웹훅 요청이 진짜인지 확인할 수 있도록 본문을 비밀 키로 HMAC 서명해 헤더에 넣어 보냅니다. 연동을 개발하다 서명 검증이 계속 실패하면, 같은 키와 본문으로 서명을 직접 만들어 비교해 보는 것이 가장 빠른 확인 방법입니다.

이 도구는 브라우저의 Web Crypto API로 HMAC-SHA256, SHA-384, SHA-512를 계산합니다. 결과는 대부분의 웹훅이 쓰는 소문자 16진수나 Base64로 보여 줍니다. '받은 서명' 칸에 헤더 값을 넣으면 sha256=, v0= 같은 접두사를 떼고 16진수·Base64·URL-safe Base64 어느 형식이든 일치 여부를 알려 줍니다.

비밀 키는 텍스트(UTF-8)뿐 아니라 16진수나 Base64로 받은 키도 바이트로 바꿔 씁니다. 같은 키라도 형식을 잘못 고르면 전혀 다른 서명이 나오므로 키 형식을 먼저 확인하세요.

사용 방법

1. 1'알고리즘'(보통 SHA-256)과 '출력 형식'(HEX 또는 Base64)을 고릅니다.
2. 2'비밀 키 형식'을 고르고 '비밀 키'에 키를 넣습니다.
3. 3'메시지'에 서명할 원문(웹훅 본문 그대로)을 붙여 넣고, 비교할 서명이 있으면 '받은 서명'에 넣습니다.
4. 4'HMAC 생성'을 누르면 결과와 함께 받은 서명과의 일치 여부가 상태 줄에 나옵니다.

알고리즘: SHA-256 · 키(텍스트): key
메시지: The quick brown fox jumps over the lazy dog

f7bc83f430538424b13298e6aa6fb143ef4d59a14946175997479dbc2d1a3cd8

이럴 때 쓰면 좋아요

• 웹훅 서명 검증 코드가 실패할 때 기대 서명을 직접 계산해 비교할 때
• API 요청 서명(HMAC 인증)을 구현하며 중간 값을 확인할 때
• 결제 연동 테스트에서 받은 서명이 맞는지 확인할 때
• HMAC 개념을 배우며 키·메시지에 따른 결과 변화를 볼 때

문제가 생겼을 때

활용 팁

• 운영 환경의 실제 비밀 키는 공용 컴퓨터에서 입력하지 말고, 테스트용 키로 먼저 확인하세요.
• 서버 코드에서는 서명을 비교할 때 일반 == 대신 상수 시간 비교 함수(timingSafeEqual 등)를 쓰세요.
• 단순 무결성 확인(키 없이)이 목적이라면 해시 생성기의 SHA-256을 쓰면 됩니다.

자주 묻는 질문