WebPush通知 VAPID認証方式について

###前提・実現したいこと

VAPID認証方式のJWTについて質問です。
header.payloadのあとにドットで連結するシグネチャなのですが
以下のような形では間違っているのでしょうか？
分かる方ご教授ください。
可能ならライブラリ等を利用せず
署名を理解した上で作成したいのが理想となります。

$key = 秘密キー
$signingInput = header.payloadの連結したもの
$signature = hash_hmac("sha256", $signingInput, $key, true)
シグネチャ　=　urlEncode($signature);//Base64 URLエンコード

現在エンドポイントへpostをすると
chromeでは　ステータスコード　400
ff　では　401　を返されます。

署名を間違えているから以下のようになるのか
それ以外に原因があるのか不明です。

###試したこと
curlでポストした結果は以下

curl -v -X POST -H "Authorization: WebPush exxxxxxxxxx.eyxxxxxxxxx.cxxxxxxxxx" -H "Content-Encoding: aes128gcm" -H "Crypto-Key: p256ecdsa=Bxxxxxxxxxxx" -H "TTL: 86400" https://fcm.googleapis.com/fcm/send/xxxxxxxxx

<HTML> <HEAD> <TITLE>UnauthorizedRegistration</TITLE> </HEAD> <BODY BGCOLOR="#FFFFFF" TEXT="#000000"> <H1>UnauthorizedRegistration</H1> <H2>Error 400</H2> </BODY> </HTML>

###補足情報(言語/FW/ツール等のバージョンなど)
php
javascript