Verificar checksum de arquivo
Gere o hash de um arquivo e compare com o checksum publicado para saber se o download veio íntegro.
Escolha um arquivo para gerar o checksum
Cole o checksum que o site do desenvolvedor publicou e a ferramenta diz se a sua cópia confere. É assim que se descobre um download corrompido ou alterado no caminho.
O arquivo é lido e processado pelo seu próprio navegador, com a Web Crypto API nativa. Ele nunca é enviado, e nem o nome do arquivo nem o checksum saem do seu dispositivo.
Experimente outra ferramenta
Escolhidas para acompanhar estaFerramenta gratuita para conferir se um arquivo baixado chegou íntegro. Ela calcula o hash do arquivo — SHA-256, SHA-1 ou MD5 — direto no navegador e compara com o checksum que o site do desenvolvedor publicou. Se os dois valores batem, o arquivo é byte a byte o mesmo; se não batem, algo mudou no caminho. O arquivo é lido no seu aparelho e nunca é enviado.
Como usar esta ferramenta
- 01Escolha o arquivoQualquer tipo de arquivo. Ele é lido no navegador, sem upload.
- 02Escolha o algoritmoUse o mesmo que o site publicou. SHA-256 é o padrão atual.
- 03Cole o checksum esperadoOpcional. Com ele colado, a ferramenta compara e diz se confere ou não.
Quando isso é útil?
- Conferir um programa antes de instalarProjetos de código aberto publicam o checksum justamente para que você possa verificar.
- Confirmar que um download grande não corrompeuArquivo de vários gigabytes interrompido no meio costuma falhar silenciosamente.
- Verificar um arquivo recebido de terceirosSe quem enviou informou o hash, dá para confirmar que o que chegou é o que saiu.
Exemplos
- Imagem ISO de um sistema operacionalO site publica o SHA-256 ao lado do link. Cole o valor e a ferramenta confirma na hora.
- Checksum que não confereBaixe de novo. Se continuar diferente, não execute o arquivo e procure outra fonte.
- Valor colado pela metadeA ferramenta reconhece que o checksum tem o número errado de caracteres e avisa em vez de dizer que não confere.
Dicas para um resultado melhor
- Use o mesmo algoritmo do siteComparar um SHA-256 com um MD5 nunca vai conferir, porque são valores de formatos diferentes.
- O checksum vem do site oficialUm hash publicado no mesmo lugar de onde veio um arquivo adulterado não prova nada.
O que um checksum prova, e o que não prova
O hash é uma impressão digital do conteúdo: qualquer alteração, mesmo de um único byte, muda completamente o valor. Se o hash que você calculou bate com o publicado, o arquivo é exatamente aquele. O que ele não prova é que o arquivo é confiável — se um invasor controla o site e trocou o arquivo E o checksum, os dois vão bater normalmente. Por isso vale pegar o checksum de uma fonte separada quando possível, como o repositório oficial do projeto ou uma assinatura GPG.
SHA-256, SHA-1 e MD5
SHA-256 é o padrão atual e o que você deve preferir. SHA-1 e MD5 continuam disponíveis aqui porque muitos projetos ainda publicam nesses formatos, e para detectar download corrompido eles funcionam perfeitamente. O que não se deve fazer é confiar neles contra adulteração deliberada: as duas funções têm colisões conhecidas, ou seja, é possível construir dois arquivos diferentes com o mesmo hash. Para verificar integridade de transferência, qualquer um serve; para segurança, SHA-256.
Por que o limite de tamanho
O arquivo inteiro precisa caber na memória do navegador para ser processado, e é por isso que existe um limite relativamente baixo — ele foi escolhido para funcionar também no celular, e não só em um computador com bastante memória. A ferramenta recusa arquivos maiores em vez de tentar e travar a aba. O cálculo usa a API de criptografia do próprio navegador, então é rápido, e nenhum byte do arquivo sai do seu aparelho.
Perguntas frequentes
Qual algoritmo devo usar?
O mesmo que o site publicou. Quando houver escolha, prefira SHA-256, que é o padrão atual.
O que fazer se o checksum não confere?
Baixe o arquivo de novo — download interrompido é a causa mais comum. Se continuar diferente, não execute e procure a fonte oficial.
MD5 ainda serve?
Para detectar corrupção de download, sim. Para garantir que ninguém adulterou o arquivo de propósito, não: MD5 tem colisões conhecidas.
O arquivo é enviado para algum servidor?
Não. Ele é lido e processado no seu navegador, e nenhum byte sai do seu dispositivo.
Um checksum que confere garante que o arquivo é seguro?
Garante que ele é idêntico ao que o checksum descreve. Se a própria fonte foi comprometida, os dois podem bater mesmo assim.