Como verificar o checksum SHA-256 de um arquivo?

Escolha Arquivos, solte o arquivo e mantenha SHA-256 selecionado. Cole o checksum publicado no campo de checksum esperado e o digest fica destacado quando confere.

O MD5 ainda é seguro?

Não para segurança. Colisões de MD5 e SHA-1 podem ser produzidas de propósito, então eles não protegem contra adulteração. Continuam aceitáveis para detectar corrupção acidental ou conferir um checksum antigo.

Um hash pode ser revertido ou descriptografado?

Não. Um hash é de mão única. Sites que dizem reverter MD5 só procuram o digest em tabelas de hashes de entradas comuns, e é por isso que entradas curtas ou comuns não ficam protegidas pelo hash.

Devo usar SHA-256 para armazenar senhas?

Não. Use uma função própria para hash de senhas, como Argon2id, bcrypt ou scrypt. Elas são lentas de propósito e usam salt, o que torna muito mais difícil quebrar senhas vazadas.

Posso calcular o hash de arquivos muito grandes?

Sim. Os arquivos são lidos alguns megabytes por vez dentro do navegador, então arquivos de vários gigabytes recebem hash usando pouca memória. A velocidade depende do seu disco e do processador.

Por que recebo um hash diferente para o mesmo texto?

Diferenças invisíveis mudam o hash: uma quebra de linha no final, finais de linha do Windows (CRLF) versus Unix (LF) ou outra codificação de texto. Esta ferramenta calcula o hash do texto em UTF-8 exatamente como aparece na caixa.

Qual a diferença entre um hash e um HMAC?

Um hash depende só dos dados, então qualquer um pode calculá-lo. Um HMAC também depende de uma chave secreta, então só quem tem a chave consegue gerá-lo ou conferi-lo. Webhooks e assinaturas de API usam HMAC.

Meus arquivos são enviados?

Não. O hash é calculado em um worker WebAssembly no seu navegador. Arquivos e texto nunca saem do seu dispositivo.

Gerador de Hash e Calculadora de Checksum

MD5, SHA-1, SHA-256, SHA-512, SHA-3, BLAKE3 e CRC32 para texto e arquivos. Tudo roda localmente — nada é enviado para servidor nenhum.

Entrada: Text · files of any size
Saída: Hex digests · checksum match

Texto

43 B · UTF-8

Digests

calculando…

MD5…
SHA-1…
SHA-256…
SHA-512…

Hashes e checksums de texto e arquivos, calculados no seu dispositivo

Este gerador de hash calcula os digests MD5, SHA-1, SHA-224, SHA-256, SHA-384, SHA-512, SHA3-256, SHA3-512, BLAKE3 e CRC32 de um texto enquanto você digita, ou de arquivos de qualquer tamanho, todos de uma vez. Cole o checksum que uma página de download publica e ele diz se o seu arquivo confere. Os arquivos são lidos em partes dentro do navegador, então até imagens de disco de vários gigabytes recebem hash sem serem enviadas para lugar nenhum.

Como gerar um hash ou verificar um checksum

Escolha Texto para calcular o hash do que você digita, ou Arquivos para um ou mais arquivos.
Escolha os algoritmos de que precisa. MD5, SHA-1, SHA-256 e SHA-512 vêm selecionados de início.
Para um arquivo, solte-o na página. Uma barra de progresso mostra a leitura de cada arquivo; os digests aparecem quando ela termina.
Para verificar um download, cole o checksum publicado no campo checksum esperado. O algoritmo e o arquivo correspondentes ficam destacados em verde.
Copie qualquer digest, alterne entre hex minúsculo, hex maiúsculo e Base64, ou exporte um arquivo de checksum no estilo .sha256 para todos os seus arquivos.

O que é um hash

Uma função de hash criptográfico transforma qualquer entrada — uma palavra, um documento, uma ISO de 4 GB — em uma impressão digital curta e de tamanho fixo. A mesma entrada sempre dá o mesmo digest, e mudar um único bit da entrada muda o digest por completo. Um bom hash também é de mão única: não dá para voltar do digest à entrada, nem encontrar duas entradas com o mesmo digest.

É isso que torna os hashes úteis para verificar integridade. Se o SHA-256 do arquivo que você baixou é igual ao SHA-256 que o publicador lista, o arquivo é, byte a byte, o que foi lançado, e não um download incompleto nem uma cópia adulterada. Hashes também identificam conteúdo no Git, eliminam duplicatas em backups e assinam dados junto com uma chave.

Qual algoritmo usar?

SHA-256: A escolha padrão hoje: seguro, suportado em todo lugar e usado pela maioria das páginas de download, gerenciadores de pacotes e certificados.
SHA-384 / SHA-512: Membros mais longos da família SHA-2. O SHA-512 costuma ser mais rápido que o SHA-256 em máquinas de 64 bits. O SHA-384 é comum em valores de Subresource Integrity.
SHA3-256 / SHA3-512: Um projeto diferente (Keccak), padronizado em 2015, como reserva caso o SHA-2 seja enfraquecido algum dia. Seguro, mas menos usado.
BLAKE3: Um hash seguro moderno e muito rápido, popular para checksums de arquivos e endereçamento de conteúdo em ferramentas mais novas.
MD5 e SHA-1: Quebrados para segurança: pesquisadores conseguem criar arquivos diferentes com o mesmo digest. Ainda servem para detectar corrupção acidental e conferir checksums antigos, mas nunca confie neles contra um atacante.
CRC32: Um código de detecção de erros de 32 bits, não um hash criptográfico. Usado dentro de ZIP, PNG e Ethernet para pegar danos acidentais; trivial de falsificar de propósito.

Verificando um arquivo baixado

Páginas de download de sistemas operacionais e programas costumam publicar um checksum ao lado do arquivo, ou um arquivo SHA256SUMS. Solte seu download aqui, cole o valor publicado no campo de checksum esperado e o digest correspondente acende. A comparação ignora maiúsculas e minúsculas e espaços ao redor, e aceita uma linha inteira do sha256sum ou um valor de integridade sha384-… como está.

Uma correspondência prova que o arquivo está íntegro, mas só prova que é autêntico se você obteve o checksum de uma fonte confiável — de preferência via HTTPS no site do próprio publicador, ou com uma assinatura. Um atacante que consegue substituir o arquivo em um espelho talvez consiga substituir também o checksum ao lado.

O arquivo de checksum exportado usa o layout padrão <digest> <filename>, então o sha256sum -c checksums.sha256 no Linux e no macOS pode verificá-lo depois.

Hash de senhas? Use um hash de senha

Hashes de uso geral como MD5, SHA-1 e até SHA-256 são feitos para ser rápidos, o que é exatamente o contrário do que se quer para senhas: um atacante com uma GPU pode testar bilhões de palpites por segundo contra uma lista vazada. Armazene senhas com uma função de hash de senha lenta e com salt, como Argon2id, bcrypt ou scrypt, pelo suporte nativo do seu framework. Para criar senhas ou chaves fortes, use o gerador de senhas.

Para autenticar uma mensagem com um segredo compartilhado, como a assinatura de um webhook, use um HMAC em vez de fazer você mesmo o hash do segredo junto com a mensagem. A aba HMAC calcula HMAC-SHA256, HMAC-SHA384 e HMAC-SHA512 com a Web Crypto API do seu navegador.

Perguntas frequentes

Como verificar o checksum SHA-256 de um arquivo?: Escolha Arquivos, solte o arquivo e mantenha SHA-256 selecionado. Cole o checksum publicado no campo de checksum esperado e o digest fica destacado quando confere.
O MD5 ainda é seguro?: Não para segurança. Colisões de MD5 e SHA-1 podem ser produzidas de propósito, então eles não protegem contra adulteração. Continuam aceitáveis para detectar corrupção acidental ou conferir um checksum antigo.
Um hash pode ser revertido ou descriptografado?: Não. Um hash é de mão única. Sites que dizem reverter MD5 só procuram o digest em tabelas de hashes de entradas comuns, e é por isso que entradas curtas ou comuns não ficam protegidas pelo hash.
Devo usar SHA-256 para armazenar senhas?: Não. Use uma função própria para hash de senhas, como Argon2id, bcrypt ou scrypt. Elas são lentas de propósito e usam salt, o que torna muito mais difícil quebrar senhas vazadas.
Posso calcular o hash de arquivos muito grandes?: Sim. Os arquivos são lidos alguns megabytes por vez dentro do navegador, então arquivos de vários gigabytes recebem hash usando pouca memória. A velocidade depende do seu disco e do processador.
Por que recebo um hash diferente para o mesmo texto?: Diferenças invisíveis mudam o hash: uma quebra de linha no final, finais de linha do Windows (CRLF) versus Unix (LF) ou outra codificação de texto. Esta ferramenta calcula o hash do texto em UTF-8 exatamente como aparece na caixa.
Qual a diferença entre um hash e um HMAC?: Um hash depende só dos dados, então qualquer um pode calculá-lo. Um HMAC também depende de uma chave secreta, então só quem tem a chave consegue gerá-lo ou conferi-lo. Webhooks e assinaturas de API usam HMAC.
Meus arquivos são enviados?: Não. O hash é calculado em um worker WebAssembly no seu navegador. Arquivos e texto nunca saem do seu dispositivo.

Ferramentas relacionadas

Ver todas as ferramentas

Gerador de JWT SecretChaves secretas HS256, HS384 e HS512 aleatórias em hex ou Base64, prontas para o seu .env.Gerador de SenhasSenhas fortes e aleatórias com a força mostrada em bits.Gerador de UUID / ULID / NanoIDGere UUID v4 e v7, ULID e NanoID em massa e inspecione qualquer UUID.Conversor de dadosConverta texto estruturado entre JSON, YAML, TOML, CSV e Markdown.Decodificador JWTLeia o cabeçalho e os claims de um token, confira a expiração e verifique a assinatura.Gerador de Dados de TesteUsuários, produtos e pedidos falsos e realistas com as suas próprias colunas, em JSON, CSV ou SQL.