O que é um hash
Um hash é uma "impressão digital" de um texto ou arquivo: um código de tamanho fixo calculado a partir do conteúdo. A mesma entrada sempre gera o mesmo hash, e qualquer alteração, mesmo de um único caractere, gera um hash completamente diferente. Não é possível reconstruir o arquivo a partir do hash.
Como verificar um download
- No site oficial do software, encontre o hash publicado, normalmente indicado como SHA-256 ou "checksum".
- Selecione a aba Arquivo nesta ferramenta e escolha o arquivo baixado. O cálculo é feito no seu navegador, e o arquivo não é enviado a nenhum servidor.
- Compare o resultado com o publicado. Se for idêntico, o arquivo é exatamente o que o fabricante distribuiu. Se for diferente, o download foi corrompido ou o arquivo foi alterado: apague e baixe de novo pela fonte oficial.
Basta comparar os primeiros e os últimos caracteres com atenção, mas o ideal é conferir o valor completo.
Qual algoritmo usar
- SHA-256: o padrão atual para verificar integridade. Use sempre que puder.
- SHA-384 e SHA-512: da mesma família, com resultado maior. Use quando o fabricante publicar nesses formatos.
- SHA-1: considerado quebrado para fins de segurança desde 2017, quando foi demonstrada uma colisão na prática. Serve só para compatibilidade com sistemas antigos.
- MD5: também quebrado. Ainda é útil para detectar corrupção acidental (um download interrompido), mas não garante que o arquivo não foi alterado de propósito.
Outros usos comuns
- Encontrar arquivos duplicados: arquivos com o mesmo hash têm o mesmo conteúdo, mesmo com nomes diferentes.
- Confirmar uma cópia ou backup: compare o hash do original com o da cópia.
- Investigação de segurança: o hash de um arquivo suspeito pode ser pesquisado em bases de malware sem precisar enviar o arquivo.
Hash não é criptografia, e não é forma de guardar senha
Criptografia é reversível com a chave certa; hash não é. E, para armazenar senhas em sistemas, MD5 e SHA puros não são adequados porque são rápidos demais de testar em massa. Sistemas devem usar algoritmos próprios para senhas, como bcrypt, scrypt ou Argon2.
Perguntas frequentes
O arquivo que eu seleciono é enviado para algum lugar?
Não. O hash é calculado inteiramente no seu navegador. O arquivo não sai do seu computador.
O hash do meu arquivo não bate com o do site. O que faço?
Primeiro, confira se você está comparando o mesmo algoritmo (SHA-256 com SHA-256) e a mesma versão do arquivo. Se ainda assim for diferente, apague o arquivo e baixe novamente pelo site oficial. Não execute um instalador cujo hash não confere.
Dois arquivos diferentes podem ter o mesmo hash?
Em teoria sim, isso se chama colisão. Para MD5 e SHA-1, já é possível gerar colisões de propósito, por isso eles não servem para segurança. Para SHA-256, nenhuma colisão foi encontrada até hoje.
Por que o hash de um texto muda se eu adicionar um espaço?
Porque o hash é calculado sobre cada byte da entrada. Um espaço, uma quebra de linha ou uma diferença de maiúscula e minúscula muda completamente o resultado.