¿Su descarga está dañada o fue modificada? Compruébelo con SHA-256
Cómo comparar su archivo con el valor SHA-256 de la página de descarga
Acaba de descargar un instalador o una imagen de sistema. Justo al lado del enlace hay una fila de 64 letras y números que no parece significar nada, con la etiqueta SHA-256 delante. Quizá la instalación se cortó a la mitad con un error, o bajó el archivo de un sitio espejo en lugar del sitio oficial y no se queda tranquilo. Esa fila se publica precisamente para este momento: en un par de minutos le dice si el archivo que tiene en el disco es, byte a byte, el que preparó el autor.
Esta guía explica qué significa ese valor, cómo obtener el de su propio archivo en el navegador, en Windows y en Mac, y qué revisar, en orden, cuando los dos valores no coinciden. Todo se puede hacer sin abrir la línea de comandos; si le gustan los comandos, también están más abajo.
¿Qué le dice esa fila tan larga de la página?
Cuando el autor termina el archivo, calcula su hash (también llamado suma de verificación) y lo publica en la página. El hash es una especie de huella de longitud fija que se obtiene de cada byte del archivo: una imagen de disco de 4 GB y un documento de 200 KB producen, con SHA-256, un valor de 64 caracteres. Usted hace el mismo cálculo con su copia. Si los dos valores son idénticos carácter por carácter, su archivo es el del autor; si cambia aunque sea un carácter, no lo es.
Es decir, no es una contraseña ni una clave de licencia, y no tiene que escribirlo en ningún sitio durante la instalación: solo sirve para comparar. Su ubicación cambia de un sitio a otro: junto al enlace bajo un título como "SHA-256", "Checksum" o "Suma de verificación", o en un archivo de texto aparte llamado SHA256SUMS. Las distribuciones de Linux y los programas de código abierto suelen elegir esta segunda opción; si abre ese archivo con el Bloc de notas, verá en cada línea un hash seguido del nombre de un archivo.
Comprobarlo en el navegador, sin escribir comandos
Abra la herramienta de suma de verificación y arrastre el archivo descargado a la zona indicada, o haga clic en ella para elegirlo. Copie el valor de la página de descarga, péguelo en el campo Suma esperada y pulse Calcular la suma. En la fila del archivo aparece uno de dos resultados: coincide con el hash esperado, o NO coincide. No hace falta comparar 64 caracteres a ojo.
No se preocupe por cómo copió el valor. La herramienta ignora mayúsculas, minúsculas y espacios, y quita prefijos como "sha256:". Incluso puede pegar una línea entera de un archivo SHA256SUMS, con el nombre del archivo incluido, y ella misma separa el hash. Si eligió mal el algoritmo en la lista, lo reconoce por la longitud del valor pegado y compara con ese.
El único límite que conviene conocer es el tamaño: el archivo se lee en la memoria del navegador, así que la herramienta admite hasta 1 GB por archivo. Para imágenes de disco más grandes, use los comandos de la sección siguiente. El cálculo se hace por completo en su equipo; el archivo no se envía a ningún servidor.
En Windows y en Mac, con un solo comando
No necesita instalar nada: los dos sistemas ya traen lo necesario. En Windows, abra la carpeta donde está el archivo en el Explorador de archivos (normalmente Descargas), haga clic en la barra de direcciones de arriba, escriba cmd y pulse Intro: el Símbolo del sistema se abre directamente en esa carpeta. En Mac, Terminal está en Aplicaciones > Utilidades, o pulse Comando + barra espaciadora y escriba "Terminal" en Spotlight.
- Si el nombre del archivo tiene espacios, póngalo entre comillas: "Nueva version.exe"
- PowerShell escribe el valor en mayúsculas y la página quizá lo muestre en minúsculas: es el mismo valor
- Si compara a ojo, no se quede en los primeros y últimos caracteres; seleccione el valor, cópielo con Ctrl+C y colóquelo debajo del publicado en un documento de texto
| Sistema | Qué escribir | Cuidado con |
|---|---|---|
| Windows (Símbolo del sistema) | certutil -hashfile setup.exe SHA256 | No olvide SHA256 al final; sin él se calcula SHA-1 |
| Windows (PowerShell) | Get-FileHash setup.exe | Si no se indica algoritmo, calcula SHA-256 |
| Mac (Terminal) | shasum -a 256 instalador.dmg | Arrastre el archivo a la ventana de Terminal y la ruta se escribe sola |
| Linux | sha256sum imagen.iso | Para comprobar con el SHA256SUMS de la misma carpeta: sha256sum -c SHA256SUMS |
Los valores no coinciden: qué revisar, en orden
Casi siempre una diferencia se debe a un tropiezo corriente y no a un ataque. Antes de borrar nada, repase estos cuatro puntos; los tres primeros llevan segundos.
- ¿Mismo algoritmo? 64 caracteres es SHA-256, 128 es SHA-512, 40 es SHA-1 y 32 es MD5; quizá calculó otro
- ¿Fila correcta? Las páginas de descarga listan por separado las versiones de 32 bits, 64 bits, ARM y anteriores, y cada una tiene su propio hash
- ¿Terminó la descarga? Compare el tamaño del archivo con el que indica la página; un nombre que termina en .crdownload o .part indica una descarga cortada
- Si todo está bien, no abra el archivo: bórrelo y descárguelo de nuevo, mejor desde el sitio del autor; si la segunda copia tampoco coincide, no lo instale
Cuando la página solo da MD5 o SHA-1
Algunos sitios antiguos todavía publican solo MD5 o SHA-1. Comprobar esos valores sigue valiendo la pena: detectan con fiabilidad un archivo cortado o dañado al copiarlo, porque un daño accidental que dé justo el mismo hash es, en la práctica, imposible.
Lo que no detectan es una falsificación hecha a propósito. En 2004 para MD5 y en 2017 para SHA-1 se demostró que se pueden fabricar a voluntad dos archivos distintos con el mismo hash; en el caso de SHA-1, los investigadores publicaron dos PDF diferentes con el mismo valor. Quien modifica un archivo puede, por tanto, arreglárselas para que el hash antiguo siga coincidiendo. Si la página ofrece varios valores, elija el más largo, y como mínimo SHA-256.
| Longitud del valor | Algoritmo | Qué garantiza |
|---|---|---|
| 32 caracteres | MD5 | Solo que no hubo daño accidental |
| 40 caracteres | SHA-1 | Solo que no hubo daño accidental |
| 64 caracteres | SHA-256 | Ni daño accidental ni cambio intencionado |
| 96 caracteres | SHA-384 | Ni daño accidental ni cambio intencionado |
| 128 caracteres | SHA-512 | Ni daño accidental ni cambio intencionado |
Qué demuestra una coincidencia y qué no
Una coincidencia demuestra que su archivo es el mismo que tiene quien publicó el valor. No demuestra que el archivo sea inofensivo: si el propio autor subió algo malicioso, el hash corresponde a ese archivo. Por eso, antes de mirar el hash, fíjese en de dónde viene el archivo.
También importa de dónde sale el valor. Si obtuvo el archivo de un espejo, un foro o un sitio para compartir archivos, copie el hash de la página oficial del autor. Un valor que está justo al lado del archivo pudo cambiarlo la misma persona que cambió el archivo. Por eso los proyectos grandes además firman digitalmente sus listas de hashes; los archivos .sig, .asc o .gpg de la página de descarga son esas firmas. Verificar una firma requiere un programa aparte como GnuPG, y la herramienta de suma de verificación no lo hace; en el uso diario, una coincidencia SHA-256 con la página oficial es un control sólido en la mayoría de los casos.
Si es usted quien envía el archivo
El método también funciona al revés. Si va a enviar a alguien un archivo comprimido grande, un borrador de contrato o una copia de seguridad, calcule antes su hash SHA-256 con la herramienta y descargue el pequeño archivo de suma que ofrece. Ese archivo de texto guarda el hash y el nombre del archivo en el formato que entiende el comando sha256sum de Linux.
Mande el hash por otra vía, no junto al archivo: si el archivo salió como enlace para compartir, escriba el valor en un mensaje, por ejemplo por WhatsApp. Cuando el destinatario calcule el hash de su copia y lo compare con el suyo, los dos sabrán que el archivo no se dañó por el camino ni lo cambió nadie.
Preguntas frecuentes
La página muestra el valor en mayúsculas y el mío sale en minúsculas. ¿Es un problema?
No. Un hash se escribe en hexadecimal, donde a y A son la misma cifra. PowerShell muestra mayúsculas, mientras que certutil, macOS y Linux muestran minúsculas; al comparar, no tenga en cuenta si son mayúsculas o minúsculas.
¿Cambia el hash si le cambio el nombre al archivo?
No. El hash se calcula solo con el contenido; el nombre, la carpeta y las fechas no cuentan. Aunque el navegador lo haya guardado como "setup (1).exe", el hash seguirá coincidiendo con el valor publicado.
La página de descarga no publica ningún hash. ¿Qué puedo hacer?
No podrá comparar con el autor, pero sí comprobar la descarga en sí: descargue el archivo dos veces, en momentos distintos, y calcule los dos hashes juntos con la herramienta. Si son iguales, al menos nada se estropeó durante la descarga.
El hash coincide pero el antivirus avisa del archivo. ¿A cuál le hago caso?
Responden a preguntas distintas. La coincidencia dice que el archivo es el del autor; el antivirus valora si el contenido parece dañino. Si no confía en el autor, una coincidencia no lo protege. Ante la duda, no ejecute el archivo y consulte la página de soporte del autor.
¿Puedo comprobar un archivo que descargué en el celular?
Sí. La herramienta también se abre en el navegador del teléfono; toque la zona indicada y elija el archivo en Descargas o en la aplicación Archivos. Con archivos muy grandes puede que la memoria del teléfono no alcance; en ese caso, haga la comprobación en una computadora.
Última actualización: 12 de octubre de 2026