Verificador de hash SHA-256

Si los valores SHA-256 coinciden, los dos archivos tienen los mismos bytes

SHA-256 es una función hash que reduce un archivo de cualquier tamaño a un único resumen de 256 bits (32 bytes). Se suele escribir con 64 caracteres hexadecimales. Los mismos bytes dan siempre el mismo valor, donde y cuando se calcule, y basta cambiar un solo byte para que casi todos los 64 caracteres sean distintos. Por eso, si el valor SHA-256 que publica la página de descarga es igual al del archivo que recibiste, puedes concluir que el archivo no se dañó ni se sustituyó por otro durante la descarga.

Esta herramienta calcula el SHA-256 de lo que pongas en el cuadro A, un archivo o un texto, y coloca los 64 caracteres junto al valor de referencia del cuadro B en grupos de 8. Los archivos se leen en bloques de 4 MiB dentro del navegador, así que no hay límite de tamaño y se puede calcular incluso una imagen de instalación de varios GB viendo el avance. El contenido de los archivos y los resultados no se envían a ningún servidor.

El cuadro de referencia admite no solo un valor de 64 caracteres, sino también una lista completa de sumas de verificación como SHA256SUMS. La herramienta busca la línea con el mismo valor o, si no la hay, la línea con el mismo nombre de archivo, y compara con ella. Si los valores difieren, antes prueba las causas más habituales (un salto de línea al final, saltos de línea de Windows, la forma de composición Unicode, el valor de otro algoritmo de hash) y te indica cuál encaja.

Cuándo conviene comparar hashes

Comparar hashes responde en pocos segundos a la pregunta "¿este archivo es igual que el original?". Comparar byte a byte exige tener el original a mano, pero con un hash bastan 64 caracteres. Resulta especialmente útil en situaciones como estas.

• Después de descargar una imagen de sistema operativo o un instalador: las distribuciones de Linux y las herramientas de desarrollo publican en la página de descarga un valor SHA-256 o un archivo SHA256SUMS. Si usaste un espejo, o si la descarga se cortó y se reanudó, es más seguro comprobar el valor primero. La guía oficial de Ubuntu indica comprobar la imagen con SHA256SUMS y verificar además la firma de esa lista.
• Para comprobar que una copia de seguridad coincide con el original: los archivos movidos con un disco externo, un NAS o la sincronización en la nube pueden estar dañados aunque el nombre y el tamaño sean iguales. Cambia el cuadro B a "Otro archivo" y pon el original y la copia. La herramienta compara los dos valores y, si difieren, busca la posición del primer byte distinto.
• Después de enviar o recibir un archivo: si quien lo envía comparte también los 64 caracteres calculados en su equipo, quien lo recibe solo necesita poner el archivo para ver si es el mismo. Algunas aplicaciones de mensajería y redes sociales vuelven a comprimir fotos y vídeos, y en ese caso los valores serán distintos.
• Para comparar resultados de compilación en desarrollo: para saber si dos compilaciones del mismo código fuente son realmente idénticas, si el valor del atributo integrity de una página web es correcto o si el hash de ejemplo de una documentación de API coincide con tu implementación.
• Para comprobar que un texto se procesa de la misma manera: antes de crear una firma o un token, puede interesarte ver si el hash de una cadena es igual al de otro programa. La causa suele ser un byte de salto de línea o una diferencia de composición Unicode, y esta herramienta prueba esas diferencias hasta encontrar la que coincide.

Cómo usarla

1. En el cuadro A, elige o suelta un Archivo. Para calcular el hash de un texto, cambia a Texto y escríbelo. Los archivos se calculan en cuanto los eliges y el texto, a medida que lo escribes.
2. Pega en el cuadro B el valor SHA-256 de la página de descarga. También puedes pegar una lista completa de sumas de verificación o cargar un archivo de lista como SHA256SUMS con "Abrir archivo de lista". Para comparar dos archivos, cambia el cuadro B a Otro archivo.
3. La línea de resultado dice "Coinciden" o "No coinciden". El tablero de abajo divide los 64 caracteres en ocho grupos de 8, pone el valor calculado en la fila superior y el de referencia en la inferior, y resalta los caracteres distintos.
4. Si los valores difieren, mira la lista de causas de más abajo. En el modo de texto, cuando una diferencia como el último salto de línea hace que el texto coincida con el valor de referencia, pulsa "Calcular así" para recalcular con ese ajuste.
5. Para usar el valor calculado, elige un formato de copia (minúsculas, mayúsculas o Base64) y pulsa "Copiar valor A".

Valores de ejemplo que puedes comprobar tú mismo

Los valores de abajo dieron el mismo resultado en esta herramienta, en Node.js crypto y en sha256sum de macOS. Muestran que un texto que se ve igual en pantalla recibe un valor completamente distinto si sus bytes son diferentes. En la tabla, ↵ es un salto de línea (0A) y ␍↵ es un salto de línea de Windows (0D 0A).

Las dos últimas filas son la misma "é". macOS puede guardar los nombres de archivo en forma descompuesta (NFD), de modo que un hash hecho a partir de un nombre de archivo copiado puede ser distinto del que se hace en Windows o en Linux, por ejemplo con "café". Con los botones de normalización (NFC y NFD) del modo de texto puedes calcular ambas versiones.

Formatos que puedes pegar como valor de referencia

Cada página de descarga escribe los hashes a su manera. El cuadro B lee todos los formatos de abajo y, si una línea contiene un valor hexadecimal de 64 caracteres, lee también el nombre del archivo de esa línea. Si pegas varias líneas, cada una se lee por separado y se trata como una lista.

Si un valor hexadecimal no tiene 64 caracteres, probablemente es de otro hash. 32 caracteres es la longitud de MD5, 40 la de SHA-1, 56 la de SHA-224, 96 la de SHA-384 y 128 la de SHA-512. Esta herramienta solo calcula SHA-256, así que ante un valor así te dice a qué algoritmo se parece y te muestra el comando para calcularlo en tu propio equipo.

Comandos que dan el mismo valor en tu equipo

Puedes volver a comprobar el resultado del navegador con un comando de tu sistema operativo. Sustituye "archivo" en los comandos de abajo por el nombre real del archivo. Si el nombre contiene espacios, enciérralo entre comillas dobles.

Motivos habituales por los que un hash de texto no coincide

El hash de un archivo lee los bytes tal cual, así que hay poco margen de confusión, pero el hash de un texto falla a menudo por bytes que no se ven en pantalla. Casi siempre se trata de uno de los cinco casos siguientes.

Cuando hay un valor de referencia, la herramienta recalcula con estos cinco casos y sus combinaciones, empezando por el que menos cambia, y comprueba si alguno coincide. Así puede decirte directamente: "Este texto coincide con el valor de referencia con un salto de línea añadido al final". Las letras en otra caja son bytes distintos, por lo que no se prueban.

Cómo leer la huella visual

Leer y comparar 64 caracteres uno a uno es más fácil de equivocar de lo que parece. Por eso OpenSSH tiene la opción VisualHostKey, que muestra también la huella de la clave de un servidor como un pequeño dibujo, y la huella visual de esta herramienta usa el mismo método (el obispo borracho).

• Empieza en el centro de un tablero de 17 casillas de ancho y 9 de alto.
• Lee los 32 bytes desde el principio. De cada byte toma 2 bits cuatro veces, empezando por los bits bajos, y cada pareja de bits da un paso en diagonal. Si el primer bit es 1, el paso va a la derecha y, si es 0, a la izquierda. Si el segundo bit es 1, va hacia abajo y, si es 0, hacia arriba. Al llegar al borde del tablero se queda en su sitio.
• Las casillas visitadas más veces se dibujan más oscuras. El círculo es el punto de partida y el rombo es el punto final tras 128 pasos.

Si los dos dibujos son claramente distintos a simple vista, los valores también lo son. Pero que los dibujos se parezcan no demuestra que los valores sean iguales. El veredicto sale siempre de la comparación de los 64 caracteres, y el dibujo es solo una ayuda para echar un vistazo rápido.

Errores frecuentes

• Copiar otra línea de la lista: SHA256SUMS tiene varias líneas, una por versión, sistema operativo y CPU. En lugar de copiar una sola línea, pega la lista entera y esta herramienta busca la línea con el mismo valor o el mismo nombre.
• Una descarga sin terminar: si el tamaño es menor que el que indica la página de descarga, o el nombre es temporal, como .crdownload o .part, el valor será forzosamente distinto.
• Un archivo cuyo nombre termina en (1): cuando descargas dos veces el mismo archivo, el navegador añade (1) al nombre. El nombre no forma parte del hash, de modo que el mismo contenido da el mismo valor. Al buscar un nombre en una lista, esta herramienta ignora (1) y la diferencia entre mayúsculas y minúsculas.
• Un archivo que se descomprimió y se volvió a comprimir: aunque los archivos de dentro sean los mismos, la configuración de compresión y las marcas de tiempo cambian, así que el hash del archivo comprimido difiere del original.
• Pegar el contenido de un archivo en el cuadro de texto: al copiar y pegar el contenido de un archivo de texto pueden cambiar los saltos de línea, el BOM y la codificación. Comprueba el hash de un archivo en el modo de archivo.
• Comparar con el valor de otro algoritmo: si en la misma página figuran MD5, SHA-1 y SHA-512, fíjate primero en la longitud. SHA-256 tiene 64 caracteres.

Límites y precauciones

• Que los valores coincidan significa que las dos secuencias de bytes son iguales. No significa que el archivo sea seguro ni que su autor sea de fiar.
• Si obtuviste el hash y el archivo del mismo servidor, ambos pueden haber cambiado si ese servidor fue vulnerado. Por eso distribuciones como Ubuntu adjuntan una firma GPG al archivo SHA256SUMS y piden verificar también la firma. Esta herramienta no verifica firmas.
• Esta herramienta solo calcula SHA-256. Con MD5 y SHA-1 se han llegado a construir colisiones que producen a propósito el mismo hash (en SHA-1, Google y CWI publicaron una en 2017), y el NIST anunció que SHA-1 se retirará a finales de 2030. Para detectar manipulaciones, usa SHA-256 o superior.
• El cálculo va de decenas a cientos de MB por segundo según la velocidad del dispositivo. Un archivo de varios GB tarda, y si cierras la pestaña durante el cálculo, este se detiene. En un teléfono, un archivo que solo está en la nube se puede leer cuando el dispositivo termina de descargarlo.
• El modo de texto genera los bytes solo en UTF-8. Comprueba en modo de archivo los textos guardados con otra codificación, como Windows-1252.
• La huella visual es solo una ayuda visual y no se usa para el veredicto.

Fuentes

Fecha de revisión El estándar y el documento de ejemplos FIPS 180-4 del NIST, los manuales y el código de GNU coreutils, Microsoft y OpenSSH, y la guía de Ubuntu se comprobaron en sus textos originales el 22 de octubre de 2026. Los valores de la tabla de ejemplos dieron el mismo resultado en esta herramienta, en Node.js crypto y en sha256sum de macOS, y la huella visual se comparó con el dibujo que ssh-keygen traza a partir de los mismos 32 bytes.

• 01NIST: FIPS 180-4 Secure Hash Standard (SHS)Definición de SHA-256, publicada en agosto de 2015
• 02NIST: ejemplo de cálculo de SHA-256 (SHA256.pdf)Valores intermedios y resultados de abc y del mensaje de 448 bits, escritos como palabras de 8 caracteres en mayúsculas
• 03sha256sum(1), manual de GNU coreutilsFormato de la línea de salida, --tag, -c, --ignore-missing
• 04Microsoft Learn: Get-FileHashAlgoritmo por defecto SHA256, ejemplo de salida en mayúsculas
• 05Microsoft Learn: certutil-hashfile InFile [HashAlgorithm], lista de algoritmos admitidos
• 06Ubuntu: How to verify your Ubuntu downloadsha256sum -c SHA256SUMS y comprobación de la firma SHA256SUMS.gpg
• 07Código de OpenSSH: sshkey.c fingerprint_randomartTablero de 17 × 9, cuatro pasos de 2 bits por byte, inicio S y final E
• 08Manual de OpenBSD: ssh_config(5) VisualHostKeyLa opción que muestra también la huella de una clave como dibujo
• 09NIST: NIST Retires SHA-1 Cryptographic AlgorithmAnunciado el 15 de diciembre de 2022, con retirada hasta el 31 de diciembre de 2030
• 10Google Security Blog: Announcing the first SHA1 collisionFebrero de 2017, Google y CWI Ámsterdam publicaron una colisión real
• 11W3C: Subresource IntegrityNotación Base64 tras sha256- y sha384- en el atributo integrity
• 12Unicode: UAX #15 Unicode Normalization FormsNormalización NFC y NFD

Preguntas frecuentes

Herramientas para usar junto con esta