Segurança & Criptografia · Gratuito
Gerador e Verificador HMAC
Gere HMAC-SHA256, SHA-512, SHA-1 ou MD5 em hex e Base64 e verifique a assinatura de webhooks (GitHub, Stripe, Mercado Pago).
Carregando ferramenta…
Comunidade Cloud Win
Seja o primeiro a avaliar
Avalie esta ferramenta
Sua nota ajuda outros usuários e mostra o que melhorar.
Toque nas estrelas
Gerar e verificar assinatura HMAC de webhook
HMAC combina uma chave secreta com a mensagem para provar que ela veio de quem tem o segredo. É assim que Stripe, GitHub, Mercado Pago e Meta assinam webhooks. Cole o corpo bruto, o segredo e a assinatura recebida no header para conferir — em hex ou Base64, com SHA-256, SHA-1, SHA-512 ou MD5.
Erros comuns ao validar webhook
- Assinar o JSON re-serializado em vez do corpo bruto (espaços mudam o hash).
- Esquecer o prefixo do header (
sha256=no GitHub). - Comparar com
==em vez de comparação de tempo constante no backend.
Perguntas frequentes
Como validar a assinatura de um webhook?
Calcule o HMAC-SHA256 do corpo bruto da requisição com o segredo do webhook e compare com a assinatura do header, no mesmo formato (hex ou Base64).
Por que minha assinatura HMAC não bate?
Normalmente porque o corpo foi re-serializado (espaços ou ordem das chaves mudaram), há quebra de linha extra no segredo ou o prefixo do header (como sha256=) não foi removido.
HMAC é o mesmo que hash?
Não. Um hash usa só a mensagem; o HMAC também usa uma chave secreta, então só quem tem a chave consegue gerar a assinatura válida.
Quando isso importa em VPS
Diagnósticos de porta, DNS, SSL, GeoIP e e-mail são o dia a dia de quem hospeda sites, APIs, RDP Windows e automações. Se o IP, firewall ou DNS não baterem, migrar para uma Cloud VPS ou VPS Windows com IP dedicado e suporte 24/7 resolve a causa, não só o sintoma.