Tecla de expansión para la función hmac

Mi aplicación funciona así:

1. El usuario envía data al servidor.

2. Las respuestas del servidor con token y también el servidor se envían a los sms de los usuarios con un código de seis números.

3. El usuario envía al servidor data , token y code para verificar la operación.

Donde token es función hmac('sha256', $data, $code) , code - random(100000, 999999) .

Sé que el número de seis dígitos es demasiado corto para hmac_SHA256 .

Así que quiero agregar un secret a code cuando calculo la función hmac , donde secret es una cadena de 32 bytes almacenada en el servidor.

El cálculo de Hmac será así: hmac('sha256', $data, $code.$secret) .

¿Es una buena solución?