Por cierto, probé este HMAC-SHA256 nativo contra la Web Crypto API para confirmar que producen los mismos resultados con mensajes y claves aleatorias, y las firmas coincidieron. No puedo garantizar que no haya casos especiales en los que difieran, pero estoy lo suficientemente satisfecho para usarlo en producción. 