Incolla due hash: lo strumento li normalizza (maiuscole, spazi, due punti, prefissi come sha256-), indica se coincidono, l’algoritmo probabile e la posizione della prima differenza.
Maiuscole, spazi, due punti e prefissi come «sha256-» vengono ignorati.
Questo strumento verifica se due hash sono identici senza doverli rileggere carattere per carattere. Serve a confrontare la somma di controllo pubblicata da un produttore con quella che hai calcolato, o due impronte di certificato mostrate in formati diversi.
Prima del confronto, entrambi i valori vengono normalizzati: convertiti in minuscolo, ripuliti da spazi, a capo e due punti e privati di un eventuale prefisso di algoritmo iniziale come «sha256-» o «sha256=». Così «AB:CD:EF» e «abcdef» sono considerati uguali, come pure «sha256=2cf24d…» (il formato di GitHub) e «2cf24d…». La lunghezza del valore normalizzato permette poi di stimare l’algoritmo: 32 caratteri esadecimali per MD5, 40 per SHA-1, 64 per SHA-256, 96 per SHA-384 e 128 per SHA-512. Questo rilevamento resta una probabilità, perché anche SHA3-256 o BLAKE2s producono 64 caratteri.
Il confronto avviene in tempo costante: lo strumento scorre tutti i caratteri invece di fermarsi alla prima differenza, una precauzione classica per evitare che la durata riveli dove due segreti divergono. Se i valori non coincidono, viene indicata la posizione del primo carattere diverso, utile per individuare una copia troncata o un errore di selezione. Lunghezze diverse indicano spesso due algoritmi diversi, per esempio uno SHA-1 confrontato con uno SHA-256. Una corrispondenza dimostra solo che il tuo file è identico a quello usato per produrre il riferimento: la fiducia dipende dalla fonte del riferimento, idealmente una pagina HTTPS ufficiale o un file firmato.
Inserisci nel primo campo l’hash ufficiale o atteso, con o senza separatori e prefisso.
Aggiungi nel secondo campo l’hash che hai calcolato o ricevuto.
Lo strumento indica se i due valori coincidono, l’algoritmo probabile in base alla lunghezza e, in caso di differenza, la posizione della prima discrepanza.
Incolla il valore pubblicato nella pagina di download (Ubuntu, VeraCrypt, Python…) e quello ottenuto con sha256sum o Get-FileHash. PowerShell mostra l’hash in maiuscolo e la pagina in minuscolo: lo strumento confronta senza distinguere le maiuscole.
I browser e OpenSSL mostrano spesso l’impronta SHA-256 di un certificato nella forma «AB:CD:…». Confrontala con un valore senza separatori preso da un file di configurazione o fornito da un collega per confermare che si tratta dello stesso certificato.
Durante il debug, confronta l’header X-Hub-Signature-256 di GitHub, con il prefisso «sha256=», con l’HMAC che hai ricalcolato: il prefisso viene ignorato automaticamente.
Input
Hash di riferimento: AB:CD:EF; Hash da verificare: abcdefRisultato
Gli hash corrispondono. Valori normalizzati: abcdef e abcdef.Calcola l’hash del file con l’algoritmo indicato dal produttore, per esempio con sha256sum su Linux, shasum -a 256 su macOS, Get-FileHash su Windows o con il generatore di hash. Poi incolla quel valore e quello ufficiale nei due campi. Se coincidono, il tuo file è identico a quello pubblicato.
Non in un hash esadecimale: «A1B2» e «a1b2» rappresentano gli stessi byte, per questo PowerShell (maiuscolo) e sha256sum (minuscolo) danno risultati equivalenti. In Base64, invece, maiuscole e minuscole codificano valori diversi. Meglio quindi confrontare la forma esadecimale.
La lunghezza è l’indizio migliore: 32 caratteri esadecimali per MD5, 40 per SHA-1, 64 per SHA-256, 96 per SHA-384 e 128 per SHA-512. Non è una certezza, perché altri algoritmi producono le stesse lunghezze (anche SHA3-256 dà 64 caratteri). Il nome del file (SHA256SUMS) o la documentazione del produttore chiariscono il dubbio.
Il tuo file è diverso da quello usato per calcolare il riferimento: download interrotto, file danneggiato, versione sbagliata o modifica malevola. Controlla prima di confrontare il file giusto con lo stesso algoritmo, poi scaricalo di nuovo dalla fonte ufficiale. Non eseguire un file il cui hash non coincide.
Un confronto semplice si ferma al primo carattere diverso, e il tempo di risposta può rivelare quanti caratteri sono corretti. Lato server è un rischio reale per firme HMAC o token, per questo esistono crypto.timingSafeEqual o hmac.compare_digest. Lo strumento applica la stessa buona pratica, anche se il rischio è trascurabile nel tuo browser.
No, dimostra che il tuo file è identico a quello di riferimento, non che quest’ultimo sia pulito. Se il sito e il suo checksum sono stati compromessi insieme, i due valori coincideranno comunque. Una firma GPG o Sigstore verificata con la chiave del produttore offre questa garanzia in più.
Strumenti correlati
Strumenti simili o complementari a questo.
Calcola in un colpo solo gli hash MD5, SHA-1, SHA-256, SHA-384 e SHA-512 di un testo o di un file.
Calcola un HMAC SHA-1, SHA-256, SHA-384 o SHA-512 in hex o Base64 e verifica una firma di webhook.
Decodifica un certificato X.509 o una CSR in PEM: soggetto, emittente, date, SAN, chiave pubblica e impronta SHA-256.
Distingui hash, cifratura e firma e usa le impronte per verificare uguaglianza o integrità senza attribuire false garanzie.
Scopri quando usare crittografia, hashing, HMAC o PBKDF2 per riservatezza, integrità, autenticazione e password.
Comprendi come si collegano OAuth 2.0, PKCE, JWT, JWK e JWKS: autorizzazione, token, chiavi pubbliche e verifica.
Scopri come SRI usa un'impronta crittografica per verificare che uno script o un foglio di stile esterno corrisponda al file previsto.