HMAC / MAC
Suite côté client de codes d’authentification de message par hachage à clé prenant en charge HMAC-SHA256, SHA512, SHA384, SHA224, SHA1 et MD5 avec accélération native Web Crypto et vérification en temps constant.
Qu'est-ce que HMAC ?
HMAC (Hash-based Message Authentication Code) combine une clé secrète avec une fonction de hachage pour produire un code prouvant à la fois qu'un message n'a pas été modifié et qu'il a été créé par quelqu'un possédant la clé partagée — contrairement à un simple hachage, que n'importe qui peut calculer.
Comment utiliser l'outil HMAC / MAC
- Saisissez le message et la clé secrète.
- Choisissez un algorithme de hachage à utiliser avec HMAC (SHA-256 et d'autres sont disponibles).
- Générez le MAC, ou collez un MAC existant avec un message et une clé pour vérifier qu'il correspond.
Notes techniques
- HMAC nécessite une clé secrète — sans elle, ce n'est qu'un hachage ordinaire qui n'offre aucune garantie d'authentification.
- Le même message et la même clé produisent toujours le même MAC ; vérifier consiste donc à recalculer le MAC et à le comparer, pas à déchiffrer quoi que ce soit.
- Gardez la clé secrète confidentielle ; quiconque la possède peut générer des MAC valides indiscernables des vôtres.
Questions fréquentes
En quoi HMAC diffère-t-il d'un simple hachage ?+
Un simple hachage peut être calculé par n'importe qui : il ne détecte donc que les modifications accidentelles. HMAC intègre une clé secrète : une étiquette valide prouve aussi que le message provient de quelqu'un qui détient cette clé. Sans clé, il n'apporte aucune authentification.
Comment vérifier un MAC ? Peut-il être déchiffré ?+
Un MAC n'est pas du chiffrement et ne peut pas être inversé. Vérifier consiste à recalculer le HMAC sur le message et la clé reçus, puis à le comparer à l'étiquette attendue. Cet outil effectue cette comparaison en temps constant pour éviter les canaux auxiliaires temporels.
Est-il sûr d'utiliser HMAC-MD5 ou HMAC-SHA1 ?+
Les faiblesses de collision de MD5 et SHA-1 ne cassent pas directement HMAC, si bien que ces variantes subsistent dans certains protocoles anciens comme les anciennes signatures AWS et OAuth 1.0. Pour tout nouveau besoin, utilisez HMAC-SHA-256 ou plus robuste.