Генератор HMAC SHA-256

HMAC связывает сообщение с секретным ключом: получатель может вычислить ту же подпись и сравнить её с переданной. В этом инструменте используется SHA-256 и байты UTF-8 для обоих полей. Это удобно при отладке вебхука, когда документация говорит «HMAC SHA-256 от тела запроса», но сервис отвечает, что подпись неверна. Важно понимать, что подпись считают от точных байтов тела, а не от заново собранного JSON. Изменение порядка ключей, пробелов или перевода строки даст другой результат.

Никогда не подставляйте демонстрационный ключ из примера в рабочую интеграцию. Для настоящего обмена ключ должен быть создан и храниться в защищённом хранилище приложения. Генератор работает локально, однако секрет может остаться в буфере обмена или истории менеджера буфера, если вы его копировали. После проверки очистите поле и не отправляйте снимок экрана с ключом в поддержку. Если сравниваете подпись с партнёром, уточните формат вывода: hex, Base64, наличие префикса sha256= и регистр символов.

Введите сообщение и ключ. Браузер создаст подпись HMAC в hex для проверки интеграции.

Начните с кнопки «Вставить пример», чтобы увидеть ожидаемый формат ввода. Затем замените демонстрационные значения своими данными в полях «Исходные данные, Секретный ключ». Нажмите «Получить результат». Если формат неверный, инструмент покажет ошибку на русском языке; исправьте исходные данные и повторите действие.

Готовый результат можно скопировать одной кнопкой или скачать в файл hmac-sha256.txt. Проверьте итог перед публикацией на рабочем сайте: инструмент видит только переданные ему данные и не знает особенностей вашего проекта. Для больших выгрузок удобно сначала обработать небольшой фрагмент и убедиться, что структура результата подходит дальнейшему процессу.

Изменение одного символа сообщения меняет подпись.

hello
test-key

Пример показывает форму исходных данных. Результат создаётся только после запуска виджета, поэтому вы можете изменить пример и сразу увидеть, как это влияет на вывод. Если вы работаете с клиентским сайтом, используйте обезличенный образец для первой проверки, затем переходите к полному файлу.

Не используйте короткий демонстрационный ключ в реальной системе. Если копируете подпись, она попадёт в системный буфер обмена.

Технически корректный результат ещё не означает, что он подходит бизнес-логике сайта. Например, URL может быть синтаксически верным, но вести на удалённую страницу; XML может быть хорошо сформированным, но не соответствовать настройкам конкретной площадки. После автоматической проверки откройте итог в целевой системе или браузере и сравните его с ожидаемым поведением.

Если инструмент сообщает об ошибке, начните с названного поля или строки. При обработке файлов проверьте кодировку, переносы строк, кавычки и спецсимволы. Они часто попадают в данные при экспорте из Excel, CMS или интеграции и могут менять смысл результата.

Типичный сценарий: возьмите небольшой обезличенный запрос, посчитайте HMAC в обеих системах и сравните. Если совпало, перейдите к реальному телу и проверьте, не меняет ли прокси кодировку или переносы. Для вебхуков также нужна защита от повторного воспроизведения: метка времени или уникальный идентификатор события и ограничение срока действия. Одна правильная HMAC-подпись не гарантирует, что событие было доставлено только один раз.

Для повторяющихся задач сохраните входной пример и ожидаемый результат как проверочный сценарий. После обновления сайта или формата данных прогоните его снова: небольшое изменение шаблона экспорта иногда меняет поведение без явной ошибки. Если результат используется в производственной системе, проверьте не только синтаксис, но и последствия на нескольких реальных записях. При публикации конфигурации или метатегов сравните исходный HTML и ответ сервера с тем, что вы видите в форме.

При проверке вебхука возьмите исходное тело запроса до JSON.parse. Сервер, который разбирает JSON и собирает его снова, может изменить пробелы и порядок полей, из-за чего HMAC уже не совпадёт. Вставьте в форму ровно ту строку, которую подписывает отправитель, и тот же секрет. Сравните полученный hex с заголовком запроса. Если отправитель использует Base64, переведите формат отдельно, не меняя алгоритм. Проверьте также, включается ли в подпись timestamp или путь запроса.

Для рабочей интеграции ключ не должен лежать в клиентском JavaScript. Этот генератор — диагностический инструмент в браузере инженера, а серверное приложение должно хранить секрет на своей стороне. При смене ключа поддержите короткий переходный период, если партнёр не может обновиться мгновенно. Не логируйте сам секрет и полную подпись вместе с персональными данными. Если подпись не совпадает только для кириллицы, проверьте, что обе стороны используют одни и те же байты UTF-8, а не разные кодировки.

Сохраните исходный пример и результат рядом с задачей, чтобы при следующем обновлении можно было повторить проверку. Откройте итоговый файл в целевой системе и сравните не только отсутствие ошибки, но и число обработанных записей, конечные адреса, отображение кириллицы и поведение на мобильном экране, если результат используется в интерфейсе. Для конфигурации сервера сначала примените изменения на тестовом окружении и выполните запрос к реальному URL. Для данных каталога выберите несколько контрольных SKU с разными ценами и остатками. Если расхождение найдено, исправляйте источник данных или шаблон генерации, а не только один скачанный файл. Так следующая автоматическая выгрузка не вернёт проблему.

Поля этого инструмента обрабатываются в вашем браузере. Содержимое не отправляется на сервер Pugofka, а локальный файл читается только после вашего выбора. Для XML определяется кодировка из объявления или BOM; при отсутствии подсказки сначала пробуется UTF-8, затем Windows-1251. Виджет скрыт от записи содержимого в Вебвизоре; в Яндекс Метрику передаются slug инструмента и тип действия — открытие, первое взаимодействие, запуск, получение результата, копирование или скачивание.

При копировании данные попадают в системный буфер обмена устройства, где их могут видеть другие приложения с соответствующим доступом. Если исходник содержит секреты или персональные данные, очистите поле после работы. Скачанный файл остаётся на устройстве, в выбранной браузером папке загрузок.

Используйте результат как рабочий черновик: вставьте его в конфигурацию, страницу или документ и повторно проверьте там, где он будет применяться. Если вы меняете индексируемые страницы, обновите связанные ссылки и карту сайта. Для миграции URL дополнительно запустите сетевую проверку редиректов, чтобы увидеть фактические HTTP-ответы после публикации.

Если задача связана с каталогом, импортом или поддержкой интернет-магазина, команда Pugofka может помочь встроить такую проверку в регулярный обмен данными и исправить источник ошибок. Одноразовая онлайн-утилита полезна для диагностики, а постоянный поток данных обычно требует автоматической проверки на стороне проекта.