1. O Que E HMAC

HMAC (Hash-based Message Authentication Code) e um mecanismo criptografico que combina uma funcao hash com uma chave secreta para produzir um codigo de autenticacao de mensagem. Padronizado pela RFC 2104 e amplamente adotado em protocolos de seguranca como TLS, SSH, JWT e OAuth, o HMAC e hoje a solucao padrao para garantir integridade e autenticidade em comunicacoes digitais.

Diferente de um simples hash MD5 ou SHA256, que qualquer pessoa pode calcular a partir da mensagem original, o HMAC exige posse da chave secreta para ser gerado ou verificado. Isso transforma o hash em uma assinatura que prova tanto a integridade do conteudo quanto a identidade do remetente.

2. Como o HMAC Funciona

O algoritmo HMAC opera em duas rodadas de hash. Primeiro, a chave secreta e combinada com um valor de padding interno (ipad) e concatenada com a mensagem; essa concatenacao passa pela funcao hash escolhida. Em seguida, a chave combinada com um padding externo (opad) e concatenada com o hash da primeira rodada e submetida a hash novamente. O resultado final e o HMAC.

Essa estrutura de dupla rodada protege contra ataques de extensao de comprimento (length-extension attacks), que afetam hashes simples como SHA256 usado diretamente. A seguranca do HMAC depende da forca da funcao hash subjacente e do sigilo da chave — desde que a chave permaneca secreta, o HMAC e seguro mesmo que a mensagem seja publica.

"HMAC-SHA256 e o algoritmo recomendado para a maioria dos casos modernos: equilibra seguranca, performance e compatibilidade universal."

3. Comparativo de Algoritmos

A escolha do algoritmo hash subjacente afeta diretamente o nivel de seguranca e o tamanho da saida do HMAC:

• HMAC-SHA256: 256 bits de saida, padrao moderno recomendado para APIs, webhooks e JWT HS256.
• HMAC-SHA512: 512 bits, maxima seguranca para ambientes de alta criticidade e JWT HS512.
• HMAC-SHA384: 384 bits, alternativa intermediaria para JWT HS384.
• HMAC-SHA1: 160 bits, considerado legado — ainda em uso por compatibilidade, mas evite em novas implementacoes.
• HMAC-MD5: 128 bits, inseguro — use apenas para checksums nao criticos, nunca para autenticacao.

4. Casos de Uso Reais

HMAC esta presente em praticamente todo sistema web moderno que precisa autenticar comunicacoes entre partes:

• GitHub Webhooks: o header X-Hub-Signature-256 contem HMAC-SHA256 do payload, permitindo que seu servidor verifique que o evento veio do GitHub.
• Stripe: usa HMAC-SHA256 para assinar eventos de webhook, garantindo que pagamentos e eventos nao sejam forjados.
• AWS Signature v4: requisicoes para a AWS sao assinadas com HMAC-SHA256 para autenticacao de chamadas de API.
• JWT: tokens com algoritmos HS256, HS384 e HS512 usam HMAC para assinar o payload, garantindo que nao foram adulterados.

Esta ferramenta permite gerar e verificar HMACs diretamente no navegador, sem enviar sua chave secreta ou mensagem a qualquer servidor — seguro para uso em desenvolvimento, testes e depuracao.