Pega dos hash: la herramienta los normaliza (mayúsculas, espacios, dos puntos, prefijos como sha256-), indica si coinciden, el algoritmo probable y la posición de la primera diferencia.
Se ignoran mayúsculas, espacios, dos puntos y prefijos como «sha256-».
Este comparador comprueba si dos hash son idénticos sin que tengas que revisarlos carácter a carácter. Sirve para contrastar la suma de verificación que publica un fabricante con la que has calculado tú, o dos huellas de certificado mostradas en formatos distintos.
Antes de comparar, ambos valores se normalizan: se pasan a minúsculas, se eliminan espacios, saltos de línea y dos puntos, y se quita un prefijo de algoritmo inicial como «sha256-» o «sha256=». Así, «AB:CD:EF» y «abcdef» se consideran iguales, igual que «sha256=2cf24d…» (el formato de GitHub) y «2cf24d…». La longitud del valor normalizado permite luego estimar el algoritmo: 32 caracteres hexadecimales para MD5, 40 para SHA-1, 64 para SHA-256, 96 para SHA-384 y 128 para SHA-512. Esta detección es solo una probabilidad, ya que SHA3-256 o BLAKE2s también producen 64 caracteres.
La comparación se hace en tiempo constante: la herramienta recorre todos los caracteres en lugar de detenerse en la primera diferencia, una precaución habitual para que la duración no revele dónde difieren dos secretos. Cuando los valores no coinciden, se indica la posición del primer carácter distinto, lo que ayuda a detectar una copia truncada o un error al seleccionar. Longitudes distintas suelen indicar dos algoritmos diferentes, por ejemplo un SHA-1 comparado con un SHA-256. Una coincidencia solo demuestra que tu archivo es idéntico al que sirvió para calcular la referencia: la confianza depende del origen de esa referencia, idealmente una página HTTPS oficial o un archivo firmado.
Escribe en el primer campo el hash oficial o esperado, con o sin separadores ni prefijo.
Añade en el segundo campo el hash que has calculado o recibido.
La herramienta indica si los dos valores coinciden, el algoritmo probable según la longitud y, si difieren, la posición de la primera diferencia.
Pega el valor publicado en la página de descarga (Ubuntu, VeraCrypt, Python…) y el obtenido con sha256sum o Get-FileHash. PowerShell muestra el hash en mayúsculas y la página en minúsculas: la herramienta compara sin distinguir mayúsculas.
Los navegadores y OpenSSL suelen mostrar la huella SHA-256 de un certificado como «AB:CD:…». Compárala con un valor sin separadores de un archivo de configuración o de un compañero para confirmar que es el mismo certificado.
Al depurar, compara la cabecera X-Hub-Signature-256 de GitHub, con el prefijo «sha256=», con el HMAC que has recalculado: el prefijo se ignora automáticamente.
Entrada
Hash de referencia: AB:CD:EF; Hash que comprobar: abcdefResultado
Los hashes coinciden. Valores normalizados: abcdef y abcdef.Calcula el hash del archivo con el algoritmo que indica el fabricante, por ejemplo con sha256sum en Linux, shasum -a 256 en macOS, Get-FileHash en Windows o el generador de hash. Después pega ese valor y el oficial en los dos campos. Si coinciden, tu archivo es idéntico al publicado.
No en un hash hexadecimal: «A1B2» y «a1b2» representan los mismos bytes, por eso PowerShell (mayúsculas) y sha256sum (minúsculas) dan resultados equivalentes. En Base64, en cambio, mayúsculas y minúsculas codifican valores distintos. Es preferible comparar la forma hexadecimal.
La longitud es la mejor pista: 32 caracteres hexadecimales para MD5, 40 para SHA-1, 64 para SHA-256, 96 para SHA-384 y 128 para SHA-512. No es seguro al cien por cien, porque otros algoritmos producen las mismas longitudes (SHA3-256 también da 64 caracteres). El nombre del archivo (SHA256SUMS) o la documentación del fabricante lo aclaran.
Tu archivo es distinto del que se usó para calcular la referencia: una descarga interrumpida, un archivo dañado, una versión equivocada o una modificación maliciosa. Comprueba primero que comparas el archivo correcto con el mismo algoritmo y luego vuelve a descargarlo de la fuente oficial. No ejecutes un archivo cuyo hash no coincide.
Una comparación simple se detiene en el primer carácter distinto, y el tiempo de respuesta puede revelar cuántos caracteres son correctos. Es un riesgo real en el servidor para firmas HMAC o tokens, por eso existen crypto.timingSafeEqual o hmac.compare_digest. La herramienta aplica la misma buena práctica, aunque el riesgo sea insignificante en tu propio navegador.
No, demuestra que tu archivo es idéntico al de referencia, no que este esté limpio. Si la web y su checksum se comprometieron a la vez, los dos valores seguirán coincidiendo. Una firma GPG o Sigstore verificada con la clave del fabricante aporta esa garantía adicional.
Herramientas relacionadas
Herramientas similares o complementarias a esta.
Calcula de una vez los hash MD5, SHA-1, SHA-256, SHA-384 y SHA-512 de un texto o archivo.
Calcula un HMAC SHA-1, SHA-256, SHA-384 o SHA-512 en hex o Base64 y verifica una firma de webhook.
Decodifica un certificado X.509 o una CSR en PEM: sujeto, emisor, fechas, SAN, clave pública y huella SHA-256.
Distingue hash, cifrado y codificación; comprende SHA-256, SHA-3, colisiones y los límites de una huella sin autenticación.
Aprende cuándo utilizar cifrado, hashing, HMAC o PBKDF2 para confidencialidad, integridad, autenticación y contraseñas.
Comprende cómo los hashes SRI detectan cambios inesperados en scripts y hojas de estilo externos y cuáles son sus límites.