🪝 웹훅 서명 검증 가이드 | 서명이 일치할까?

시크릿 (서명 키)

시크릿을 가려서 표시

받은 페이로드 (요청 본문 그대로)

페이로드는 받은 바이트를 그대로 넣어야 합니다. 보기 좋게 다시 들여쓴 JSON 은 바이트가 달라져 서명이 어긋납니다.

해시 알고리즘

서명 인코딩

받은 서명값

받은 웹훅이 정말 그 서비스에서 온 것인지 확인하기

웹훅 엔드포인트는 주소만 알면 누구나 요청을 보낼 수 있으니, 본문과 함께 온 서명을 검증해야 합니다. 시크릿과 받은 페이로드, 서명값을 넣으면 같은 방식으로 HMAC 을 계산해 일치 여부만 알려 줍니다. 계산한 값과 입력한 값, 길이 비교까지 함께 보여 주니 어디가 어긋났는지 짚을 수 있습니다.

서명을 어떤 문자열로 만들고 어떤 프리픽스를 붙이는지는 서비스마다 다르고 바뀌기도 합니다. 그래서 이 페이지는 서비스별 형식표를 담지 않고, 보내는 쪽 문서에서 확인한 시크릿·페이로드·인코딩·서명값을 직접 받습니다. 비교는 길이를 먼저 맞춘 뒤 전체를 끝까지 도는 상수시간 방식입니다. 먼저 다른 글자에서 멈추면 걸린 시간으로 몇 글자까지 맞았는지가 새어 나갑니다.

이 도구는 어떤 서비스의 서명인지 알아내지 못하고, 타임스탬프 유효 기간이나 재전송 방지도 검사하지 않습니다. 그 둘은 보내는 쪽 문서를 보고 따로 처리해야 합니다. 계산은 브라우저 안에서만 하며 시크릿을 전송하지 않습니다. 2026년 10월 기준입니다.

자주 묻는 질문

왜 서명 형식이 서비스마다 다른가요?

서명을 어떤 문자열로 만들고 어떤 헤더에 어떤 프리픽스로 담는지는 각 서비스가 정합니다. 타임스탬프를 함께 묶는 곳도 있고 인코딩도 갈립니다. 그래서 이 도구는 서비스별 형식표를 담지 않고, 보내는 쪽 문서에서 확인한 값을 직접 넣게 합니다.

페이로드를 그대로 붙였는데 왜 안 맞을까요?

바이트가 한 글자라도 다르면 결과가 완전히 달라집니다. JSON 을 다시 들여쓰기했거나 줄바꿈이 바뀌었거나 끝에 공백이 붙은 경우가 가장 흔합니다. 로그에 남은 원본 본문을 손대지 않고 넣어 보세요.

서명 비교를 그냥 등호로 하면 안 되나요?

권하지 않습니다. 앞에서부터 비교하다 다른 글자를 만나면 바로 멈추는 방식은 걸린 시간이 맞은 글자 수에 따라 달라져, 그 차이를 재면서 서명을 한 글자씩 맞춰 갈 수 있습니다. 길이를 먼저 보고 전체를 끝까지 도는 방식이 안전합니다.

🪝웹훅 페이로드 서명 검증 가이드

관련된 도구

JWT 디코더

HMAC 서명 생성기

받은 웹훅이 정말 그 서비스에서 온 것인지 확인하기

자주 묻는 질문

관련된 도구

JWT 디코더

HMAC 서명 생성기

받은 웹훅이 정말 그 서비스에서 온 것인지 확인하기

자주 묻는 질문

같은 카테고리 도구