ForHosting KIT · 開発者向けツール

HMAC署名を作成する方法

mensajeを鍵clave-secretaとHMAC-SHA-256で署名すると、fd7e5bf1で始まる署名ができ、同じ鍵を持つ人しか再現できません。受け取った署名も同じ方法で確かめ、改ざんされたメッセージを見つけられます。ブラウザで無料で使えます。

無料
ブラウザで動作
登録不要
データは端末の外に出ません

無料で実行 API仕様を見る

ご利用方法ウェブAPIメールTelegramアプリ近日

メッセージと秘密鍵からHMAC署名を計算するツールです。

鍵付きの署名で分かること

HMACは、双方が共有する秘密を使って作るメッセージの指紋です。通常のハッシュは誰でも計算できるため、データが壊れていないことしか示せません。HMACはそれに加えて、誰が作ったかも示します。秘密を知らなければ、確認に通る署名は作れないからです。土台にするハッシュはSHA-256、SHA-384、SHA-512から選べ、署名は十六進数かbase64の文字列で受け取れます。受け取った署名を確認して、有効か無効かを知ることもできます。

HMAC署名が使われる場面

よくある例が署名付きリンクです。アドレスと有効期限にHMACを付けると、ダウンロードやパスワード再設定のリンクを改ざんされにくくできます。メッセージの待ち行列でも、途中で書き換えられたものを受け手が拒否できるよう使われ、他のシステムからの自動通知を信頼するためにも使われます。この方式は1996年にRFC 2104で定められ、後にFIPS 198として標準化され、長年の分析にも耐えてきました。

使い方

メッセージと秘密鍵、使用するアルゴリズムを入力すると、HMAC値が表示されます。受信側で同じ計算をして値が一致すれば、途中で改ざんされていないと確認できます。

秘密鍵の扱い

入力した鍵はその都度の計算にのみ使われ、保存されません。ブラウザでの利用であれば、鍵が外部に送信されることもありません。

活用例

ログの改ざん検知

鈴木美咲さんは、重要なログファイルのHMAC値を記録しておき、あとから同じ鍵で再計算して値を比較することで、内容が変わっていないかを確認しています。

よくある質問

どのアルゴリズムに対応していますか？

SHA-256を中心に、複数のハッシュアルゴリズムに対応しています。

なぜ無料で使えるのですか？

計算そのものは軽く、ブラウザの中で完結するため無料で提供しています。

日本語のサポートはありますか？

申し訳ありませんが、日本語でのサポートは行っておりません。サポートは英語またはスペイン語で、担当者が直接対応します。ツール自体は日本語の環境でも問題なくご利用いただけます。

HMACとハッシュ値は何が違いますか？

ハッシュ値は入力だけから計算されますが、HMACは入力と秘密鍵の両方から計算されます。鍵を知らない第三者は同じ値を作れません。

ハッシュとHMACの違いは何ですか？

SHA-256のような通常のハッシュは、データが壊れていないことを示しますが、誰でも計算できます。HMACは共有した秘密を計算に混ぜるので、その秘密を持つ人しか正しい署名を作れません。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/dev/hmac

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/dev/hmac \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d '{"text":"payload","secret":"s3cr3t"}'

const res = await fetch("https://api.kit.forhosting.com/dev/hmac", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "text": "payload",
    "secret": "s3cr3t"
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/dev/hmac",
    headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
    json={
    "text": "payload",
    "secret": "s3cr3t"
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/dev/hmac", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => '{"text":"payload","secret":"s3cr3t"}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"text":"payload","secret":"s3cr3t"}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/dev/hmac", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "text": "payload",
  "secret": "s3cr3t"
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "dev.hmac",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

技術的な注記

Webhookの署名確認やAPI連携での改ざん検知など、鍵を共有した相手だけが同じ値を作れる仕組みを使う場面に向いています。

HMACとは

HMACは、メッセージと秘密鍵を組み合わせて計算する署名の一種です。同じ鍵を持つ相手だけが同じ値を再現できるため、Webhookの送信元確認などに使われます。

ブラウザとAPI、どちらでも

ブラウザでの利用は無料です。サーバー側の処理に組み込みたい場合は、APIから同じ計算を呼び出せます。料金は1リクエストあたり$0.002（米ドル）です。

連携の活用例

Webhookの署名確認

開発を担当する田中大輔さんは、外部サービスから届くWebhookに付いた署名を、共有している秘密鍵で計算し直して照合し、なりすましのリクエストでないかを確認しています。

API連携のテスト

合同会社みどりデザインのチームは、自社APIに送るリクエストの署名を開発中に手元で計算し、実装が正しいかを本番前に確認しています。

技術的な質問

入力した秘密鍵は保存されますか？

保存されません。計算のたびに入力していただく仕組みです。

会員登録は必要ですか？

不要です。ページを開けばすぐに計算できます。

APIで使う場合、鍵の扱いは変わりますか？

APIではリクエストごとに鍵を送信していただきますが、計算後に保存することはありません。

KITの完全なドキュメントを見る →