Hash- und HMAC-Generator: MD5, SHA-256, SHA-512 online

Eine Zeichenkette, die Sie einfügen können, ein Geheimnis, das Sie in den eigenen Browser tippen, ein Digest, den Sie schon haben.

Wenn die Bytes ein Binärartefakt sind oder das Geheimnis nicht in einem Browser auf einem geteilten Rechner auftauchen darf, bleiben Sie in der Shell oder in der CI.

Ein schlichter Digest ist schnell, ungesalzen und für dieselbe Eingabe identisch. Das passt zu einer Prüfsumme, aber nicht zu einem Passwort: Ein Angreifer kann den Digest vorab berechnen, und zwei Nutzer mit demselben Passwort teilen sich denselben Wert. Die Dokumentation der Hash- und HMAC-Seiten weist darauf hin. Passwörter gehören zu bcrypt-hash (oder zu Argon2 auf Ihrem Server). HMAC ist ebenfalls das falsche Werkzeug, denn es authentifiziert eine Nachricht mit einem Geheimnis, das Sie behalten müssen, und streckt kein Passwort.

Jeder kann den SHA-256 eines öffentlichen Bodys neu berechnen. Der Digest belegt, dass der Body unverändert ist, aber nicht, wer ihn erzeugt hat. Muss ein Webhook, ein Versionshinweis oder ein API-Aufruf authentisch sein, braucht es ein Geheimnis: HMAC oder eine JWT-Signatur, geprüft mit jwt-verify. Die umgekehrte Verwechslung ist nach dem Base64-Kodieren-und-Dekodieren-Guide genauso häufig, denn Base64 ist eine umkehrbare Verpackung. Der SHA-256 von abc ist ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad. Aus diesem Hex wird nicht wieder abc.

Der Hash-Generator berechnet Hashes von UTF-8-Text, nicht von einer Rohdatei. Die Dateiauswahl akzeptiert nur Textendungen (txt, md, json, csv, html, xml, yml, yaml) bis zur Browsergrenze von 32 MiB, und die Datei wird vor dem Hashen als Text gelesen. Der SHA-256 eines Anbieters für ein .tar.gz, ein Bild oder ein PDF passt daher nicht, und diese Typen stehen nicht in der Auswahl. Selbst eine Textdatei kann von sha256sum abweichen, wenn sich die Zeilenenden ändern. Der SHA-256 von abc ist der Vektor oben. Der SHA-256 von abc plus einem LF ist edeaaff3f1774ad2888673770c6d64097e391bc362d7d6fb34982ddf0efd18cb. Dieselben Buchstaben, andere Bytes.

GitHubs X-Hub-Signature-256 ist sha256= gefolgt vom HMAC-SHA-256 des rohen Bodys, mit dem Geheimnis als UTF-8. Stripe signiert timestamp.payload, nicht das JSON allein. Die HMAC-Seite baut diese Zeichenketten nicht und entfernt kein sha256=-Präfix. Fügen Sie die exakte Nachricht, die exakten Schlüsselbytes und nur den Digest ein. Der Vergleich ignoriert Hex-Großschreibung und Leerzeichen sowie nachgestelltes = bei Base64URL. Ein Präfix ignoriert er nicht.

Alle erzeugen undurchsichtige Zeichenketten. Sie ersetzen einander nicht.

Die Digest-Bytes bleiben gleich. Die Schreibweise nicht. Hex ist, was sha256sum und die meisten Webhook-Dokus drucken. Base64 mit Padding ist, was manche APIs liefern. Base64URL ohne Padding ist die kompakte Form (kein +, kein /, kein nachgestelltes =). Großschreibung gilt nur für Hex.

Ein abgeschnittener Digest ist eine misslungene Kopie, kein anderer Algorithmus. Zählen Sie die Zeichen, nachdem Sie die Leerzeichen entfernt haben.

Öffnen Sie den Hash-Generator. Fügen Sie den Text ein oder wählen Sie eine Textdatei aus. Wählen Sie Hex, Base64 oder Base64URL. Schalten Sie die Option Hex Großbuchstaben nur ein, wenn der Referenz-Digest in Großbuchstaben steht, denn bei Base64 ändert sie nichts. Alle fünf Algorithmen aktualisieren sich gemeinsam. Fügen Sie den erwarteten Digest ein, um Treffer zu markieren, oder laden Sie das Beispiel, wenn Sie nur den Ablauf sehen wollen. Das Feld muss mindestens ein Zeichen enthalten, das kein Leerzeichen ist: Ein leeres Feld löscht die Karten, statt den bekannten SHA-256 der leeren Zeichenkette anzuzeigen.

Öffnen Sie den HMAC-Generator. Es gibt keine Dateiauswahl, fügen Sie also Nachricht und Geheimnis ein. Lassen Sie SHA-256 eingestellt, außer der Anbieter nennt SHA-384 oder SHA-512. Stellen Sie die Schlüsselkodierung auf UTF-8 für ein Geheimnis wie eine Passphrase, auf Hex für einen Hex-Schlüssel (optionales 0x, gerade Länge) oder auf Base64 beziehungsweise Base64URL, wenn der Schlüssel so gespeichert wurde. UTF-8 auf einem Hex-Geheimnis signiert die Zeichen 0-9a-f und nicht die Schlüsselbytes, der Digest passt dann nicht, und die Ursache ist nicht offensichtlich. Der erwartete Digest folgt denselben Vergleichsregeln wie die Hash-Seite.

createHash und createHmac hashen die Zeichenkette, die Sie übergeben. Sie hängen keinen Zeilenumbruch an. Das entspricht den Browser-Tools.

echo hängt einen Zeilenumbruch an, der Digest gilt also für andere Bytes. printf nicht. Für eine Datei auf dem Datenträger setzen Sie -binary nur, wenn Sie die rohen Digest-Bytes wollen; Hex ist die Textform.

Keine Installation, nichts wird an einen Server gesendet, fünf Hash-Algorithmen oder drei HMAC-Algorithmen, Hex / Base64 / Base64URL und eine Markierung des erwarteten Digests. Die Grenzen: nur Text und UTF-8, ein Deckel von 32 MiB für Textdateien auf der Hash-Seite, keine binäre Prüfsumme, kein MD5-HMAC, kein Passwort-Stretching, kein JWT-Zusammenbau. Nutzen Sie die Seiten, um ein Snippet zu prüfen oder einen Webhook-Digest nachzubauen. openssl bleibt am Release-Artefakt, bcrypt am Passwort.