HMAC-SHA256 è un codice di autenticazione dei messaggi costruito a partire da una chiave segreta e dalla funzione hash SHA-256. Non cifra i dati. Invece, produce un tag breve che dimostra che un messaggio non è stato alterato ed è stato creato da qualcuno che conosce il segreto condiviso. Se il tag non corrisponde, il messaggio deve essere rifiutato.
Nei sistemi di sicurezza, HMAC-SHA256 è spesso usato per proteggere token, richieste API e handshake SSO. È importante perché un accesso o una richiesta amministrativa può sembrare valida in superficie, ma senza una verifica corretta della firma un attaccante può riutilizzare, falsificare o rinominare i dati oltre i confini di fiducia. I difensori devono verificare i byte esatti che sono stati firmati, usare una chiave segreta मजबूत e confrontare i tag in tempo costante. Gli attaccanti spesso prendono di mira errori di implementazione, come canonicalizzazione incoerente, campi mancanti o la verifica del messaggio sbagliato prima di accettare l'autenticazione.