Verificador de hash de archivos

1. 01Elige el archivoArrástralo o selecciónalo. Se lee en tu navegador; no se envía a ningún sitio.
2. 02Elige el algoritmoSHA-256 es el habitual. Usa el mismo que publicó quien distribuye el archivo, porque cada algoritmo da un valor distinto.
3. 03Pega la suma esperadaEs opcional. Si la pegas, la herramienta te dice directamente si coincide o no, en vez de dejarte comparar 64 caracteres a ojo.

• Comprobar una descarga grandeUna imagen de sistema o un instalador de varios cientos de megas puede llegar corrupto sin que nada lo avise. La suma lo detecta.
• Verificar un archivo antes de ejecutarloSi el valor no coincide con el publicado, el archivo no es el que esperabas. Descárgalo otra vez antes de abrirlo.
• Comparar dos copias del mismo archivoCalcula el hash de las dos: si coinciden, son idénticas byte a byte, aunque tengan distinto nombre o fecha.

• CoincidePegas la suma SHA-256 publicada y sale "Coincide": tu copia es exactamente la que describe el valor publicado.
• No coincideSale "No coincide": el archivo no es el mismo. Puede ser una descarga incompleta o un archivo alterado. Descárgalo de nuevo y, si sigue sin coincidir, no lo ejecutes.
• Valor con el formato equivocadoSi pegas una suma de 40 caracteres teniendo SHA-256 seleccionado, la herramienta avisa de que ese valor no tiene la longitud de este algoritmo, en vez de decir que no coincide.

• Usa el mismo algoritmo que publicaronUn SHA-1 y un SHA-256 del mismo archivo son valores completamente distintos. Si no coinciden las longitudes, es que has mezclado algoritmos.
• Copiar la suma entera importaUn valor cortado a la mitad no coincide con nada. El aviso de formato está precisamente para distinguir ese caso de un archivo corrupto de verdad.

Es una huella de longitud fija calculada a partir de todos los bytes del archivo. Cambiar un solo byte cambia el valor por completo, así que comparar la suma con la publicada prueba que tu copia es idéntica a la original. Lo que prueba es INTEGRIDAD: que el archivo no cambió. No prueba por sí sola que el archivo sea de quien dice ser, porque si alguien controla la página también puede cambiar la suma publicada. Para eso hacen falta firmas digitales, que es otra cosa.

La API criptográfica del navegador calcula el hash sobre el contenido completo, así que el archivo se lee entero en memoria. Un límite más alto funcionaría en un portátil con memoria de sobra y bloquearía la pestaña en un móvil, y el fallo sería una pestaña muerta en vez de un mensaje. La herramienta prefiere decir que no antes que congelarse. Por el mismo motivo no hay barra de progreso: el navegador no informa del avance, y una barra que no mide nada engaña.

SHA-1 está marcado como antiguo y no debería usarse para nada nuevo, pero sigue siendo el valor que publican muchas descargas de hace años. Negarse a comprobarlo no haría más segura esa descarga: solo dejaría al usuario sin forma de verificarla. Está disponible y etiquetado, que es la combinación honesta.

Ignora los espacios de alrededor y las mayúsculas, porque eso es presentación. No toca nada del interior del valor: recortar signos podría convertir una suma genuinamente equivocada en una coincidencia, que es lo único que un verificador nunca debe hacer. Un valor con una longitud que no corresponde al algoritmo seleccionado se marca como mal formado, no como "no coincide", para que no salgas a buscar una corrupción que no existe.

El archivo se lee en tu navegador y no se sube a ningún servidor. Ni el contenido, ni el nombre, ni la suma calculada salen de tu dispositivo.

¿Se sube mi archivo a algún servidor?

No. Se lee en tu navegador con la API criptográfica del propio navegador y nunca sale de tu dispositivo.

¿Qué tamaño máximo admite?

128 MB. El archivo entero tiene que caber en memoria para calcular el hash, y un límite más alto bloquearía la pestaña en un móvil.

¿Qué significa que no coincida?

Que tu copia no es el archivo para el que se calculó esa suma. Puede ser una descarga incompleta o un archivo alterado. Descárgalo otra vez y, si sigue sin coincidir, no lo ejecutes.

¿Qué algoritmo debo usar?

El mismo que publicó quien distribuye el archivo. SHA-256 es el más común. Cada algoritmo produce un valor distinto para el mismo archivo.

¿Por qué sigue habiendo SHA-1?

Porque muchas descargas antiguas solo publican ese valor. Está marcado como antiguo y no conviene para nada nuevo, pero poder comprobarlo es mejor que no poder verificar nada.

¿Una suma correcta garantiza que el archivo es seguro?

Garantiza que es idéntico al original, no que el original sea de fiar. Si quien publica la descarga también publica la suma, alguien que controle esa página podría cambiar las dos. Para autenticidad hacen falta firmas digitales.