API-Signatur-Generator

HMAC (Hash-based Message Authentication Code)-Authentifizierung funktioniert, indem beide Parteien einen geheimen Schlüssel teilen. Der Absender berechnet HMAC(secret, message) und sendet das Ergebnis als Signatur-Header. Der Empfänger berechnet unabhängig denselben HMAC und vergleicht ihn mit der empfangenen Signatur. Da nur Parteien mit dem geheimen Schlüssel eine gültige Signatur erstellen können, beweist ein übereinstimmender HMAC die Authentizität und Integrität der Nachricht.

Ein einfacher SHA256-Hash ist deterministisch und öffentlich – jeder kann SHA256(data) berechnen. HMAC-SHA256 integriert einen geheimen Schlüssel in die Berechnung mittels einer zweistufigen Konstruktion: HMAC(k, m) = H((k ⊕ opad) || H((k ⊕ ipad) || m)). Das bedeutet, dass nur Parteien mit dem geheimen Schlüssel die Signatur erstellen oder überprüfen können, was sie für die Authentifizierung geeignet macht, bei der einfache Hashes nicht ausreichen.

Webhooks liefern HTTP POST-Anfragen von einem Server an Ihren Endpunkt. Ohne Authentifizierung könnte jeder Server gefälschte Ereignisse senden. HMAC-Signaturen lösen dieses Problem: Der Webhook-Anbieter signiert die Nutzlast mit einem gemeinsamen Geheimnis, und Ihr Server berechnet den HMAC neu, um die Authentizität zu überprüfen, bevor das Ereignis verarbeitet wird. GitHub, Stripe, Shopify und die meisten modernen Webhook-Systeme verwenden dieses Muster mit HMAC-SHA256.

Der Nachrichteninhalte variiert je nach API. Gängige Ansätze sind: Nur den Anforderungstext signieren (Stripe, GitHub Webhooks), einen kanonischen String aus Methode + URL + Zeitstempel + Text signieren (AWS Signature V4) oder eine sortierte Abfragezeichenfolge signieren. Überprüfen Sie immer die Dokumentation Ihres API-Anbieters auf das genaue Format ihres kanonischen Strings, da selbst Leerzeichenunterschiede zu einer anderen Signatur führen.