01
Fijar la hora
La fecha UTC se rellena una sola vez al abrir la página; el botón Ahora la actualiza a petición. El ejemplo S3 incluye una firma conocida y ofrece una vista previa antes de sustituir tus datos.
Herramientas de nube
depurar firma AWS SigV4
Introduce los campos exactos de la solicitud y sigue el cálculo de la firma de cabecera.
depurar firma AWS SigV4
Entrada de solicitud
Resultado de firma
Cálculo en el navegador, sin enviar solicitudes. Usa credenciales de prueba, nunca secretos de producción.
Opciones y referencias
Fecha UTC
Solicitud canónica de referencia
Introduce una URL para empezar.
El informe oculta Session Token; la solicitud oculta no sirve para recalcular la firma.
SignatureDoesNotMatch no siempre significa que la clave esté mal. Al depurar firma AWS SigV4, compara la solicitud canónica formada por ruta, parámetros, cabeceras y hash del cuerpo con el valor esperado por AWS.
El ejemplo S3 publicado por AWS usa credenciales ficticias y una fecha fija. Todo se calcula localmente; esta página no comprueba permisos de IAM ni si el servicio acepta la solicitud.
Por qué depurar firma AWS SigV4 aquí
Convierte el error de firma en diferencias que se pueden señalar.
Ver cambios de codificación y orden
Para depurar firma AWS SigV4, se ordenan nombres y valores de consulta después de codificarlos, se conservan las claves repetidas y se normalizan las cabeceras. `+`, `%20` y los espacios alterados aparecen en la solicitud canónica.
Seguir la cadena completa
El SHA-256 de la solicitud canónica, el ámbito y la cadena para firmar se muestran por separado. Pega una solicitud canónica de referencia para localizar la primera línea distinta antes de usar una clave de prueba.
Reproducir una solicitud con entradas fijas
02
Revisar la normalización
Ejecuta manualmente o pulsa Ctrl/Cmd+Intro. Comprueba URI, consulta ordenada, cabeceras normalizadas y hash del cuerpo antes de mirar el HMAC. Para S3 se añade x-amz-content-sha256 según el modo elegido.
03
Comparar sin divulgar secretos
La solicitud canónica de referencia se puede comparar sin clave. Solo la firma final requiere credenciales de prueba desechables. El informe general oculta Session Token; copiar el texto exacto es una acción separada.
Qué revela el recorrido de la firma
Seis partes canónicas
Método, URI, consulta ordenada, cabeceras, SignedHeaders y hash del cuerpo forman la solicitud canónica. Los parámetros duplicados permanecen y `+` se codifica como `%2B`, no como espacio.
Cadena para firmar y ámbito
Muestra el SHA-256 de la solicitud canónica y fecha/región/servicio/aws4_request. Una región incorrecta modifica tanto la cadena para firmar como la clave HMAC derivada.
Firma de prueba opcional
Sin secreto se completa el diagnóstico estructural. Una pareja de claves de prueba permite calcular Signature y Authorization localmente, sin mostrar el secreto ni las claves intermedias.
Primera diferencia de referencia
Compara una solicitud canónica línea por línea y una firma hexadecimal de 64 caracteres por valor. Un desacuerdo ayuda a depurar, pero no confirma que AWS admita la solicitud.
Alcance real del cálculo sin conexión
- Solo la cabecera Authorization
- Se calcula AWS4-HMAC-SHA256 para Authorization. No se generan URL prefirmadas ni se procesan SigV4a, V2, cargas por bloques, archivos cURL o HAR completos.
- Sin verificación ante AWS
- No se llama a AWS ni a la URL introducida. Un HMAC de prueba coincidente no confirma validez de credenciales, permisos IAM ni los bytes recibidos después de un proxy.
- Ruta y cuerpo explícitos
- Las rutas de objetos S3 no se normalizan. Los segmentos de punto ambiguos y barras codificadas producen un error. El hash corresponde solo al texto UTF-8 pegado, no a archivos ni flujos.
- Cuidado con tokens temporales
- Session Token se firma como x-amz-security-token y puede figurar en la solicitud canónica exacta. El informe general lo oculta; con esa versión no se puede recalcular la firma.
Preguntas al depurar firma AWS SigV4
¿Cómo soluciono discordancias de firma SigV4 con IAM en API Gateway?
Compara primero la solicitud canónica del cliente con la que indica el error de AWS. Al depurar firma AWS SigV4, la primera línea distinta orienta la revisión de URI, orden de parámetros, cabeceras firmadas y hash del cuerpo.
¿Por qué no coincide la firma calculada por AWS?
La solicitud que llega al servicio puede diferir de la que se firmó si un proxy cambia ruta o cabeceras. Revisa también hora, región, servicio y pareja de claves de prueba. El cálculo local no sustituye los registros del servicio.
¿Puedo revisar la solicitud canónica sin clave secreta?
Sí. Se pueden formar la solicitud canónica, su SHA-256 y la cadena para firmar sin un secreto. Recalcular el HMAC final exige la clave correspondiente; sin ella no se inventa una firma.
¿AccessDenied confirma que la firma es correcta?
Depende del servicio y del orden de sus comprobaciones. Esta página no llama a AWS ni lee las políticas IAM. Consulta los registros y las herramientas de permisos del entorno afectado.
¿Puede un proxy alterar la firma SigV4?
Sí. Si cambia ruta, consulta, host, cabeceras firmadas o cuerpo, el servicio calculará otro valor. Compara la solicitud antes y después del proxy y la respuesta de error cuando sea posible.
¿Queda alguna duda?
Depurar firma AWS SigV4 ahora
Empieza con el vector S3 publicado y luego compara una solicitud de prueba propia. Puedes depurar firma AWS SigV4 sin enviar datos al destino.