Verificar la suma de verificación de un archivo

Cómo funciona

Toque o haga clic en el recuadro para elegir sus archivos y pulse Calcular la suma; cada archivo recibe su fila con la suma del algoritmo elegido. El caso típico: la página de descarga de un programa publica junto al archivo un valor SHA-256 de 64 dígitos. Pegue ese valor en el campo Suma esperada — la herramienta lo compara con lo que calculó y escribe con claridad en la fila si el archivo quedó verificado o no coincide. Las mayúsculas y los espacios sueltos se ignoran, así que puede pegar el valor tal cual desde la página web. Todo se calcula dentro de su navegador y el archivo no sale de su dispositivo — de ahí también el límite de 1 GB por archivo, porque los bytes se leen en memoria. Con un solo algoritmo seleccionado, el botón de descarga entrega un archivo de texto en formato sha256sum («suma, dos espacios, nombre»), que puede verificarse en la línea de comandos con sha256sum -c; con «Los tres a la vez», las tres sumas quedan reunidas en un solo archivo. Puede seleccionar varios archivos a la vez; cada uno se procesa por separado.

Esta herramienta también se busca como checksum de un archivo, sha256 de un archivo, md5 de un archivo, sha256sum online, verificar integridad de un archivo.

¿Qué es Suma de verificación (checksum)?

La suma de verificación es una huella de longitud fija calculada matemáticamente a partir de todos los bytes de un archivo; también se la llama hash o checksum. Pese el archivo dos kilobytes o veinte gigabytes, la suma tiene siempre la misma longitud, y el mismo archivo produce la misma suma en cada cálculo. Con un solo bit cambiado, la suma cambia de arriba abajo. Comparar dos sumas da por eso la misma respuesta que comparar dos archivos byte a byte, mucho más rápido y sin necesitar las dos copias en el mismo lugar: ese es el principio de la verificación de descargas.

¿Qué es SHA-256?

SHA-256 es el miembro de 256 bits de la familia SHA-2, publicada por el NIST, el organismo de normalización de Estados Unidos, y hoy es el estándar de hecho para verificar la integridad de archivos. Su salida son 64 dígitos hexadecimales. No se conoce ningún método práctico para producir dos archivos distintos con el mismo valor SHA-256; por eso las descargas de software, las imágenes de sistemas operativos y los archivos de respaldo publican sus sumas en esta forma — una distribución de Linux, por ejemplo, muestra una línea SHA-256 junto a cada imagen de disco que ofrece.

¿Cuál es la diferencia entre MD5 y SHA-256?

Los dos reducen un archivo a un valor de longitud fija; la diferencia está en el margen de seguridad. MD5 se diseñó en 1992, su salida de 128 bits ocupa 32 dígitos, y hoy es posible fabricar a propósito dos archivos distintos con el mismo MD5 — por eso solo sirve para detectar corrupción accidental. SHA-256 produce un valor de 256 bits en 64 dígitos y no tiene ningún ataque de colisión practicable conocido; es la elección correcta en cualquier lugar donde haga falta demostrar que un contenido no fue alterado. Verificar un valor MD5 publicado por una fuente antigua sigue valiendo; para las sumas que publique usted mismo, use SHA-256.

MD5 y SHA-1 cazan accidentes, no atacantes

Hace años se demostraron colisiones en los dos: es posible fabricar a propósito dos archivos distintos con la misma suma MD5 o SHA-1. Quien altera una descarga y vuelve a publicar la suma original no queda en evidencia con una coincidencia MD5. SHA-256 no tiene ninguna colisión práctica conocida; por eso los editores migraron a él.

Eso no vuelve inútiles a los dos antiguos: siguen detectando con fiabilidad el daño accidental — una descarga a medias, una copia fallida, un archivo comprimido dañado. Verificar un valor MD5 publicado por un sistema viejo es razonable; publicar una suma nueva con MD5, no.

¿Qué algoritmo conviene elegir?

Siga lo que esté publicado: use el algoritmo que eligió la otra parte. Si no está seguro, la longitud se lo dice — 32 dígitos es MD5, 40 es SHA-1, 64 es SHA-256. Pegue el valor en el campo Suma esperada con «Los tres a la vez» seleccionado: la herramienta averigua sola con qué algoritmo coincide y lo indica.

Para una suma que crea usted mismo — archivar un archivo y poder probar después que no cambió, o dejar que un destinatario confirme que un envío llegó entero — elija SHA-256. La opción «Los tres a la vez» existe para cotejar registros antiguos con nuevos en una sola pasada.

Preguntas frecuentes

¿Cómo verifico el SHA-256 de un archivo descargado?

Elija el archivo, deje el algoritmo en SHA-256 y pulse Calcular la suma. El valor de 64 dígitos aparece en la fila del archivo; pegue el valor publicado por el sitio en el campo Suma esperada y la herramienta le dice si coinciden. El archivo no se sube a ninguna parte.

¿Alguien puede reconstruir mi archivo a partir de su suma?

No. El cálculo va en un solo sentido: el archivo produce la suma, pero la suma no puede reconstruir el archivo. Compartir una suma de verificación no es compartir el contenido — solo permite probar que una copia es idéntica byte a byte.

La suma no coincide, ¿qué hago?

Cuente primero los dígitos: 32 indica MD5, 40 SHA-1 y 64 SHA-256 — puede que el editor publicara con otro algoritmo. Si el algoritmo es el correcto, el archivo pudo dañarse durante la descarga o fue alterado; descárguelo de nuevo y repita la comprobación.

¿Cómo sé si dos archivos son idénticos?

Seleccione los dos y calcule sus sumas juntas. Sumas iguales significan contenido idéntico byte a byte, digan lo que digan los nombres o las fechas. Un solo dígito distinto significa contenido distinto.

¿En qué forma puedo pegar la suma publicada?

Péguela tal como se publicó. Se ignoran las mayúsculas, los espacios y prefijos como «sha256:»; también se reconoce una línea de sha256sum («suma archivo.iso») o una línea al estilo BSD («SHA512 (archivo.iso) = suma»). La longitud delata el algoritmo (32 caracteres MD5, 40 SHA-1, 64 SHA-256, 96 SHA-384, 128 SHA-512): aunque en la lista esté elegido otro algoritmo, la herramienta calcula también ese y compara con el hash correcto.