Хеши и HMAC: MD5, SHA-1, SHA-256, SHA-512, CRC32

Хеши текста и файла сразу по всем алгоритмам, HMAC с ключом, вывод в hex, Base64 и Base64URL.

Данные обрабатываются в браузере и никуда не отправляются

Ввод

Данные

Ключ HMAC (необязательно)

Результат

Здесь появится результат

Введите данные слева - результат появится сразу

Как пользоваться

Введите текст (или выберите режим Hex, Base64 или Файл) - хеши по всем алгоритмам считаются сразу: MD5, SHA-1, SHA-256, SHA-384, SHA-512 и контрольная сумма CRC32. Чтобы получить HMAC (хеш с секретным ключом, которым подписывают запросы и вебхуки), укажите ключ - рядом появятся HMAC для каждого алгоритма. Результат можно выводить в hex (строчными или заглавными буквами), Base64 или Base64URL.

Для каждой строки есть кнопка копирования. Файлы хешируются целиком прямо в браузере (до 10 МБ), на сервер ничего не загружается.

Частые ошибки

Вот что чаще всего идёт не так с хешами и подписями:

Разный результат из-за переноса строки

Хеш строки «abc» и «abc» с переводом строки в конце - разные. Если подпись «не сходится», сначала проверьте невидимые символы: пробелы, переводы строк, BOM. Здесь можно переключиться в режим Hex и увидеть байты.

Кодировка текста

Хеш считается от байтов, а не от букв. Здесь текст берётся в UTF-8; если другая система хеширует windows-1251 или UTF-16, хеши кириллического текста не совпадут.

Hex или Base64

Одни и те же байты можно записать по-разному: 32 байта SHA-256 - это 64 символа hex или 44 символа Base64. Убедитесь, что обе стороны сравнивают одинаковую запись, в том числе регистр hex.

MD5 и SHA-1 - не для безопасности

Для них найдены коллизии, поэтому MD5 и SHA-1 годятся для контрольных сумм и кэш-ключей, но не для подписей, сертификатов и тем более паролей.

Хеш - не шифрование и не защита паролей

Хеш нельзя «расшифровать», но слабые пароли подбираются по таблицам за секунды. Пароли хранят специальными алгоритмами (bcrypt, scrypt, Argon2) с солью, а не простым SHA.

Подпись вебхука считают от «сырого» тела

HMAC подписи вебхука нужно считать от точных байтов тела запроса, а не от разобранного и снова собранного JSON: изменится порядок ключей или пробелы - подпись разойдётся.

Частые вопросы

Отправляются ли мои данные или ключ на сервер?

Нет - 100%. Сайт целиком статический, у него нет серверной части. SHA считает встроенная криптография браузера (WebCrypto), MD5 и CRC32 - код на этой странице; ни данные, ни ключ никуда не передаются.

Что такое HMAC и зачем он нужен?

HMAC - хеш от данных вместе с секретным ключом. Его знают только отправитель и получатель, поэтому по совпадению HMAC можно убедиться, что сообщение не подделано. Так подписывают запросы к API, вебхуки платёжных систем и токены JWT с алгоритмами HS256/384/512.

Как проверить подпись вебхука?

Вставьте точное тело запроса, укажите секрет и сравните HMAC-SHA256 с заголовком подписи (часто он в hex или Base64). Если не совпало, проверьте, нет ли лишнего перевода строки и в какой кодировке записан секрет.

Чем отличаются SHA-256, SHA-384 и SHA-512?

Это одно семейство SHA-2 с разной длиной результата: 256, 384 и 512 бит. SHA-256 - самый распространённый выбор; SHA-512 на 64-битных процессорах бывает быстрее и даёт более длинный хеш.

Зачем CRC32?

CRC32 - быстрая контрольная сумма для обнаружения случайных ошибок передачи и повреждения файлов (ZIP, PNG, Ethernet). Против намеренной подмены она бесполезна: подобрать данные с нужным CRC32 легко.

Можно ли посчитать хеш файла?

Да: переключитесь на режим «Файл» и выберите файл до 10 МБ. Файл читается в браузере и никуда не отправляется.

Почему у ключа три формата?

Секретные ключи записывают по-разному: как обычную строку, как hex или как Base64. Выберите формат, в котором ключ выдан вам: от этого зависит, какие именно байты пойдут в HMAC.

Курс «Проектирование архитектуры и интеграций (API, брокеры) + ИИ»

REST, gRPC, SOAP, GraphQL и JSON-RPC, архитектурные подходы, SQL и NoSQL, брокеры сообщений и работа с ИИ. Программа курса помогает систематизировать знания об API и интеграциях; содержание и условия обучения смотрите на Stepik.

Перейти к курсу на Stepik