Ein HMAC ist ein Prüfwert aus Nachricht und geheimem Schlüssel (RFC 2104). Wer den Schlüssel kennt, kann den Wert nachrechnen und so prüfen, dass die Nachricht unverändert vom Absender stammt – etwa bei Webhooks oder API-Signaturen. Die Nachricht selbst wird dabei nicht verschlüsselt.
SHA-256 ist der übliche Standard. HMAC-SHA-1 gilt trotz der Schwächen von SHA-1 noch als tragfähig, sollte für Neues aber nicht mehr gewählt werden.