Для справки: я протестировал этот нативный HMAC-SHA256 на соответствие Web Crypto API, чтобы убедиться, что для случайных сообщений и ключей результаты совпадают, и подписи оказались идентичными. Я не могу гарантировать, что не существует каких-либо особых случаев, в которых они расходятся, но меня это вполне устраивает для использования в продакшене. 