Calculer & vérifier une signature webhook HMAC

Outil 100 % côté client (Web Crypto API) : saisissez le corps JSON, le secret et comparez avec l’en-tête reçu — Stripe (t=…,v1=…), GitHub (sha256=…) ou Shopify (HMAC base64).

Fournisseur / format de signature Algorithme HMAC

Secret partagé Afficher le secret Payload (corps brut JSON)

Corps canonique utilisé : —

Calculer une signature

Timestamp Unix (secondes) — Stripe

Signature calculée : —

En-tête Stripe-Signature suggéré : —

Vérifier une signature reçue

Valeur de l’en-tête (ou signature attendue)

—

Tolérance horaire Stripe (secondes)

Rappels par format

Stripe : HMAC-SHA256 sur {timestamp}.{corps} ; plusieurs versions (v1) peuvent coexister dans Stripe-Signature.
GitHub : HMAC-SHA256 du corps brut, préfixe sha256= en hexadécimal (minuscules).
Shopify : HMAC-SHA256 du corps brut, encodé en base64 (pas d’hex).
Toujours calculer sur les octets exacts reçus : un JSON reformaté peut invalider la signature.

Guide serveur (PHP, Node, Python) : sécuriser un webhook HMAC. Pour générer un curl de test : générateur JSON & curl.

Passez de l’idée au premier webhook en quelques minutes

Créez un compte gratuit, générez une URL et connectez votre première action.

Créer mon premier webhook gratuitement Voir les tarifs

Forfait Free · sans carte bancaire · 100 événements inclus