# Webhook-Signaturprüfung.

- Kanonische URL: https://www.broadnet.me/de/tools/webhook-signature-validator
- Sprache: de
- Zuletzt aktualisiert: 2026-10-21
- Herausgeber: BroadNet (https://www.broadnet.me)
- Markdown-Fassung der Seite, aus der ausgelieferten Seite erzeugt.

HMAC · Web Crypto · läuft in Ihrem Browser

Fügen Sie eine Webhook-Payload, Ihren Signier-Secret und die erhaltene Signatur ein. Dieses Tool berechnet den HMAC (SHA-256 oder SHA-1) mit der Web-Crypto-API und zeigt, ob er übereinstimmt. Generisch — funktioniert für jeden HMAC-signierten Webhook. Es verlässt nichts Ihr Gerät.

Verwenden Sie exakt die empfangenen Bytes — eine erneute JSON-Serialisierung ändert den Hash.

Algorithmus

Prüfung

Der HMAC wurde unten berechnet. Fügen Sie eine Signatur ein, um die Übereinstimmung zu prüfen.

Berechneter HMAC-SHA-256 (hex)

Wird in Ihrem Browser berechnet…

Alles läuft lokal über die Web-Crypto-API — Payload und Secret verlassen diese Seite nie. Bevorzugen Sie in jedem Online-Tool grundsätzlich ein Test-Secret gegenüber einem echten Produktions-Secret.

Die kurze Antwort

## Was ist eine Webhook-Signatur?

Eine Webhook-Signatur ist ein Hash mit Schlüssel — ein **HMAC** — über den Request-Body, berechnet vom Absender mit einem von beiden Seiten geteilten Secret und zusammen mit der Anfrage gesendet, meist in einem Header. Zur Prüfung berechnen Sie den HMAC über exakt denselben rohen Body mit demselben Secret und Algorithmus neu und vergleichen. Eine Übereinstimmung beweist, dass die Payload von jemandem stammt, der das Secret besitzt, und unterwegs nicht verändert wurde. Sie authentifiziert und schützt die Integrität — sie verschlüsselt die Payload nicht.

### So prüfen Sie eine Signatur korrekt

1. Erfassen Sie den **rohen Request-Body** vor jeglichem Parsing. Eine erneute JSON-Serialisierung ordnet Schlüssel und Leerzeichen um, was den Hash ändert.
2. Berechnen Sie HMAC mit dem gemeinsamen Secret und der Hash-Funktion des Absenders (bei den meisten modernen APIs SHA-256).
3. Codieren Sie das Ergebnis als Hex und vergleichen Sie es mit dem Signatur-Header, wobei ein Schema-Präfix wie sha256= ignoriert wird.
4. Vergleichen Sie in der Produktion mit einer **zeitkonstanten** Gleichheitsfunktion, um Timing-Seitenkanäle zu vermeiden, und lehnen Sie veraltete Anfragen anhand des vom Anbieter signierten Zeitstempels ab.

## Häufig gestellte Fragen

**Was ist eine Webhook-Signatur?**

Eine Webhook-Signatur ist ein Hash mit Schlüssel (HMAC) über den Request-Body, berechnet vom Absender mit einem geteilten Secret und in einem Header gesendet. Der Empfänger berechnet den HMAC über exakt denselben rohen Body mit demselben Secret neu und vergleicht — stimmen sie überein, ist die Payload authentisch und unverändert. Das beweist Herkunft und Integrität, ohne die Payload zu verschlüsseln.

**Wie prüfe ich eine HMAC-Webhook-Signatur?**

Nehmen Sie den exakten rohen Request-Body (vor jeglichem JSON-Parsing oder erneuter Serialisierung), berechnen Sie HMAC mit Ihrem geteilten Secret und dem Hash-Algorithmus des Absenders (meist SHA-256), und codieren Sie das Ergebnis als Hex. Vergleichen Sie es mit dem Signatur-Header, wobei ein Präfix wie 'sha256=' ignoriert wird. Sind sie gleich, ist die Signatur gültig.

**Warum stimmt meine Signatur nicht überein?**

Übliche Ursachen: Der Body wurde neu serialisiert und weicht dadurch byteweise vom Signierten ab; falsches Secret oder falscher Hash-Algorithmus; der Anbieter signiert einen String, der zusätzlich einen Zeitstempel oder Versions-Präfix enthält; oder eine Hex-versus-Base64-Kodierungsabweichung. Hashen Sie immer die exakten rohen Bytes genau wie empfangen.

**Ist es sicher, hier ein echtes Secret einzufügen?**

Die Berechnung läuft vollständig in Ihrem Browser über die Web-Crypto-API — nichts wird hochgeladen oder protokolliert. Als generelle Vorsichtsmaßnahme sollten Sie dennoch in jedem Online-Tool ein Test-Secret einem echten Produktions-Secret vorziehen und ein Secret rotieren, das Sie für kompromittiert halten.

**Soll ich SHA-256 oder SHA-1 verwenden?**

Verwenden Sie HMAC-SHA-256. SHA-1 wird hier nur angeboten, weil einige ältere Anbieter noch SHA-1-Signaturen senden. Neue Integrationen sollten auf SHA-256 standardisieren.

**Verschlüsselt die Signatur meine Payload?**

Nein. Eine HMAC-Signatur authentifiziert die Payload und beweist, dass sie nicht manipuliert wurde, aber der Body wird weiterhin im Klartext gesendet. Verwenden Sie HTTPS (TLS) für Vertraulichkeit; die Signatur betrifft Herkunft und Integrität, nicht Geheimhaltung.

**Warum in der Produktion zeitkonstant vergleichen?**

Ein naiver String-Vergleich kann durch winzige Zeitunterschiede verraten, wie viele führende Zeichen übereinstimmten — das könnte ein Angreifer ausnutzen, um eine Signatur zu fälschen. Vergleichen Sie in der Produktion mit einer zeitkonstanten Funktion wie crypto.timingSafeEqual. Dieses Browser-Tool vergleicht direkt, da hier kein entfernter Angreifer die Zeit messen kann.

[SMS-API REST + SMPP 3.4, Bearer-Token-Authentifizierung, Zustell-Webhooks.](https://www.broadnet.me/de/products/sms-api) [SMSC-Gateway Carrier-grade SMSC über SMPP + SS7.](https://www.broadnet.me/de/operators/smsc-gateway) [Entwickler-Hub Schnellstart, TypeScript SDK, Referenzen und Tools.](https://www.broadnet.me/de/developers)

## Jeden HMAC-signierten Webhook prüfen.

Dieses Tool funktioniert mit jedem Anbieter, der Webhooks mit HMAC signiert. Wenn Sie bereit sind zu entwickeln, bietet BroadNet eine REST-API mit Bearer-Token, Webhooks für Zustellberichte und direkte SMPP-3.4-Binds.

[Entwickler-Hub](https://www.broadnet.me/de/developers) [SMS-API](https://www.broadnet.me/de/products/sms-api)