La secretKey la conservo già nel DB, e faccio già il controllo della secretKey per ogni richiesta. Il problema non è questo, ma quello di poter validare la firma.

Come faccio a validare la firma, visto che il salt è sempre diverso?