İndirdiğiniz dosya bozuk mu, değiştirilmiş mi? SHA-256 ile kontrol

Bir programın kurulum dosyasını ya da bir sistem kalıbını indirdiniz. İndirme bağlantısının hemen yanında 64 harf ve rakamdan oluşan, anlamsız görünen bir satır duruyor; başında SHA-256 yazıyor. Kurulum yarıda hata verdi ya da dosyayı resmî site yerine bir yansı sunucusundan aldınız ve içiniz rahat değil. O satır tam bu an için yayımlanır: elinizdeki dosyanın, yayıncının hazırladığı dosyayla bayt bayt aynı olup olmadığını iki dakikada söyler.

Bu yazıda o değerin ne anlattığını, kendi dosyanızın değerini tarayıcıda, Windows'ta ve Mac'te nasıl çıkaracağınızı, iki değer tutmadığında sırayla neye bakacağınızı anlatıyoruz. Komut satırını hiç açmadan da yapılabilir; komut seviyorsanız onlar da aşağıda.

Sayfadaki o uzun satır ne söylüyor?

Yayıncı dosyayı hazırladıktan sonra onun özetini hesaplar ve sayfaya yazar. Özet, dosyanın bütün içeriğinden türetilen sabit uzunlukta bir parmak izidir: 4 GB'lık bir kalıp da 200 KB'lık bir belge de SHA-256 ile hep 64 karakterlik bir değer verir. Siz aynı hesabı kendi kopyanız üzerinde yaparsınız. İki değer harfi harfine aynıysa elinizdeki dosya yayıncının dosyasıdır; tek karakter bile farklıysa değildir.

Yani bu değer bir şifre ya da lisans anahtarı değildir, kurulum sırasında hiçbir yere yazmanız gerekmez; yalnız karşılaştırma için vardır. Sayfadaki yeri siteden siteye değişir: bağlantının yanında "SHA-256", "Checksum" ya da "Sağlama toplamı" başlığıyla durabilir, bazen de SHA256SUMS adlı ayrı bir metin dosyası olarak verilir. Linux dağıtımları ve açık kaynak programlar çoğunlukla bu ikinci yolu seçer; o dosyayı Not Defteri ile açtığınızda her satırda önce bir özet, yanında da dosya adı görürsünüz.

Tarayıcıda, komut yazmadan kontrol

Hash Üretici aracını açın ve indirdiğiniz dosyayı kutuya bırakın ya da tıklayıp seçin. İndirme sayfasındaki değeri kopyalayıp Beklenen özet alanına yapıştırın, sonra Özeti hesapla düğmesine basın. Dosyanın satırında iki cümleden biri belirir: "Beklenen özetle AYNI" ya da "Beklenen özetle EŞLEŞMEDİ". Gözünüzle 64 karakteri tek tek karşılaştırmanıza gerek kalmaz.

Değeri nasıl kopyaladığınızı dert etmeyin. Araç büyük-küçük harf farkını ve araya giren boşlukları önemsemez, başta "sha256:" gibi bir ön ek varsa onu ayıklar. SHA256SUMS dosyasından bir satırı dosya adıyla birlikte yapıştırsanız bile özeti kendisi seçer. Listeden yanlış algoritma seçmiş olsanız da yapıştırdığınız değerin uzunluğundan hangi algoritmayla yayımlandığını anlar ve karşılaştırmayı o algoritmayla yapar.

Bilmeniz gereken tek sınır boyuttur: dosya tarayıcının belleğine okunarak hesaplandığı için araç dosya başına en fazla 1 GB kabul eder. Daha büyük sistem kalıplarında bir sonraki bölümdeki komutları kullanın. Hesap tamamen bilgisayarınızın içinde yapılır; dosya hiçbir sunucuya gönderilmez.

Windows'ta ve Mac'te tek komutla

Ek program kurmanıza gerek yok; iki sistemde de gerekli araç hazır gelir. Windows'ta dosyanın bulunduğu klasörü Dosya Gezgini'nde açın (çoğu zaman İndirilenler), üstteki adres çubuğuna tıklayın, cmd yazıp Enter'a basın: Komut İstemi doğrudan o klasörde açılır. Mac'te Terminal'i Uygulamalar > İzlence klasöründen ya da Command + boşluk ile açılan Spotlight'a "Terminal" yazarak bulursunuz.

• Dosya adında boşluk varsa adı tırnak içine alın: "Yeni Sürüm.exe"
• PowerShell değeri büyük harfle yazar, sayfadaki küçük harfle olabilir; ikisi aynı değerdir
• Gözle karşılaştırıyorsanız yalnız baştaki ve sondaki birkaç karaktere bakıp geçmeyin; değeri fareyle seçip Ctrl+C ile kopyalayın ve sayfadaki değerle bir metin belgesinde alt alta koyun

İki değer tutmadıysa sırayla bakılacaklar

Tutmayan bir özet çoğu zaman saldırı değil, sıradan bir aksaklıktır. Dosyayı silmeden önce şu dört şeye sırayla bakın; ilk üçü birkaç saniye sürer.

• Algoritma aynı mı: sayfadaki değer 64 karakterse SHA-256, 128 ise SHA-512, 40 ise SHA-1, 32 ise MD5'tir; siz başka bir algoritmayla hesaplamış olabilirsiniz
• Doğru satıra mı bakıyorsunuz: sayfada 32 bit, 64 bit, ARM ya da farklı sürüm dosyaları ayrı ayrı listelenir ve her birinin özeti farklıdır
• İndirme bitti mi: dosyanın boyutunu sayfadaki boyutla karşılaştırın; adı .crdownload ya da .part ile bitiyorsa indirme yarıda kalmıştır
• Hepsi doğruysa dosyayı açmayın, silin ve mümkünse yayıncının kendi sitesinden yeniden indirin; ikinci denemede de tutmuyorsa kurmayın

Sayfada yalnız MD5 ya da SHA-1 varsa

Bazı eski siteler hâlâ yalnız MD5 ya da SHA-1 yayımlar. Bu değerleri kontrol etmek yine işe yarar: yarım inen ya da kopyalanırken bozulan bir dosyayı güvenilir biçimde yakalarlar, çünkü kazara oluşan bir bozulmanın özeti tutturması pratikte imkânsızdır.

Yakalayamadıkları şey, bilerek hazırlanmış sahte dosyadır. MD5'te 2004'te, SHA-1'de 2017'de aynı özeti veren iki farklı dosyanın hazırlanabildiği gösterildi; SHA-1 vakasında araştırmacılar özeti aynı, içeriği farklı iki PDF yayımladı. Yani dosyayı değiştiren biri, eski algoritmada özeti de tutturacak şekilde hazırlayabilir. Sayfa birden çok değer veriyorsa en uzununu, en azından SHA-256'yı seçin.

Eşleşme neyi kanıtlar, neyi kanıtlamaz?

Eşleşme, dosyanızın değeri yayımlayan kişinin elindeki dosyayla aynı olduğunu kanıtlar. Dosyanın zararsız olduğunu kanıtlamaz: yayıncının kendisi kötü niyetli bir dosya koyduysa özet de o dosyanın özetidir. Bu yüzden özete bakmadan önce dosyanın kimden geldiğine bakın.

Değerin nereden geldiği de önemlidir. Dosyayı bir yansı sunucusundan, forumdan ya da paylaşım sitesinden aldıysanız özeti mutlaka yayıncının kendi resmî sayfasından kopyalayın. Dosyayla aynı yerde duran bir özet, dosyayı değiştiren biri tarafından da değiştirilmiş olabilir. Büyük projeler bu yüzden özet listesini ayrıca dijital imzayla yayımlar; sayfada .sig, .asc ya da .gpg uzantılı dosyalar görürseniz bu odur. İmza denetimi GnuPG gibi ayrı bir program ister ve Hash Üretici bunu yapmaz; günlük kullanımda resmî sayfadan alınmış bir SHA-256 eşleşmesi çoğu durum için yeterli bir kontroldür.

Dosyayı siz gönderiyorsanız

Aynı yöntem tersine de işler. Birine büyük bir arşiv, bir sözleşme taslağı ya da bir yedek gönderiyorsanız, göndermeden önce Hash Üretici ile SHA-256 özetini çıkarın ve İndir düğmesiyle özet dosyasını alın. Bu küçük metin dosyasında özet ve dosya adı, Linux'taki sha256sum komutunun okuyabildiği düzende yazılıdır.

Özeti dosyayla aynı kanaldan değil, ayrı bir yoldan iletin: dosyayı paylaşım bağlantısıyla gönderdiyseniz değeri bir mesajla yazın. Alıcı kendi kopyasının özetini çıkarıp sizin değerinizle karşılaştırdığında, dosyanın yolda bozulmadığından ve başkası tarafından değiştirilmediğinden ikiniz de emin olursunuz.

Sık sorulanlar

Sayfadaki değer büyük harfle, benimki küçük harfle çıktı; sorun var mı?

Yok. Özet onaltılık sayılarla yazılır ve a ile A aynı rakamı gösterir. PowerShell büyük harf, certutil komutu ile Mac ve Linux küçük harf kullanır; karşılaştırırken harf büyüklüğüne bakmayın.

Dosyanın adını değiştirirsem özet de değişir mi?

Değişmez. Özet yalnız dosyanın içeriğinden hesaplanır; ad, klasör ve oluşturulma tarihi hesaba girmez. İndirdiğiniz dosyanın adı "(1)" ekiyle gelmiş olsa bile özeti yayınlanan değerle tutar.

Sayfada hiç özet yayımlanmamışsa ne yapabilirim?

Yayıncıyla karşılaştırma yapamazsınız, ama indirmenin sağlam olduğunu yine sınayabilirsiniz: dosyayı iki ayrı zamanda indirip iki kopyanın özetini Hash Üretici'de birlikte çıkarın. Özetler aynıysa en azından indirme sırasında bozulma olmamıştır.

Özet tuttu ama virüs programım dosya hakkında uyarı veriyor; hangisine güvenmeliyim?

İkisi farklı soruları cevaplar. Eşleşme dosyanın yayıncınınkiyle aynı olduğunu söyler, virüs programı ise içeriğin zararlı olup olmadığına bakar. Yayıncıya güvenmiyorsanız eşleşme sizi korumaz; emin olamıyorsanız dosyayı çalıştırmayın ve yayıncının destek sayfasına danışın.

Telefonda indirdiğim dosyayı kontrol edebilir miyim?

Edebilirsiniz. Hash Üretici telefon tarayıcısında da açılır; kutuya dokunup dosyayı İndirilenler ya da Dosyalar uygulamasından seçmeniz yeterli. Çok büyük dosyalarda telefonun belleği yetmeyebilir; o durumda kontrolü bilgisayarda yapın.

Son güncelleme: 12 Ekim 2026