HMAC 생성기·서명 검증

공유 비밀 키로 메시지에 서명하거나, 웹훅이 정말 그 비밀을 가진 서비스에서 왔는지 확인합니다. 서명 헤더는 받은 그대로 붙여넣으세요. sha256= 접두사도 읽습니다.

브라우저에서만 실행됩니다 — 어디에도 전송되지 않습니다

웹훅 서명의 원리

보내는 쪽은 HMAC(비밀 키, 본문)을 계산해 헤더에 넣어 보냅니다. 받는 쪽은 받은 본문으로 같은 계산을 해서 비교합니다. 비밀 키를 가진 쪽만 맞는 서명을 만들 수 있으므로, 일치하면 메시지가 진짜이고 바뀌지 않았다는 뜻입니다.

거의 항상 메시지가 한 바이트라도 달라서입니다. 프레임워크가 JSON을 파싱했다가 다시 직렬화했거나 줄바꿈이 바뀐 경우죠. 받은 그대로의 원본 본문에 서명하세요.

아니요. HMAC은 브라우저 안에서 계산합니다. 그래도 실제 웹훅 비밀 키는 비밀번호처럼 다루세요.