La forma rápida
Un checksum es la huella digital de un archivo. Si cambia un solo bit, la huella cambia por completo, así que dos valores iguales demuestran que los archivos son idénticos byte a byte. Las imágenes de sistemas operativos, el firmware, los gestores de contraseñas, las herramientas para desarrolladores y los drivers publican checksums junto a sus descargas justo para esto.
En la herramienta de abajo, elige el archivo o suéltalo sobre el recuadro. Calcula MD5, SHA-1, SHA-256, SHA-384 y SHA-512 a la vez. Pega el valor publicado en Comparar con y la herramienta te dice qué algoritmo coincide, o que no coincide ninguno. Se ignoran las mayúsculas, los espacios y prefijos como sha256:. El archivo se lee en tu dispositivo y nunca se sube.
Pruébalo aquí: Calculadora de checksum de archivos
Abrir la herramienta completa¿Qué algoritmo es? Fíjate en la longitud
Las páginas de descarga no siempre dicen qué hash publican. La longitud del valor hexadecimal lo delata:
| Algoritmo | Longitud en caracteres hex | ¿Sigue siendo seguro frente a manipulaciones? |
|---|---|---|
| MD5 | 32 | No, es fácil crear colisiones |
| SHA-1 | 40 | No, se demostraron colisiones prácticas en 2017 |
| SHA-256 | 64 | Sí, es el estándar actual |
| SHA-384 | 96 | Sí |
| SHA-512 | 128 | Sí |
Dónde encontrar el checksum
El valor suele estar junto al enlace de descarga o justo debajo, con una etiqueta como SHA256, Checksum, Hash o Verify your download. Las distribuciones de Linux publican un archivo de texto aparte llamado SHA256SUMS, con un hash y un nombre de archivo por línea. Los proyectos de GitHub suelen adjuntar a la página de la versión (release) un archivo checksums.txt o pequeños archivos con el nombre de la descarga terminado en .sha256.
Las páginas de firmware y drivers a veces solo dan un valor MD5, suficiente para detectar daños accidentales. Si no encuentras ningún checksum, revisa la firma digital del archivo: en Windows, clic derecho en el archivo, Propiedades y la pestaña Firmas digitales muestra quién lo publica.
Verificar un checksum en Windows, Mac y Linux
Todos los sistemas principales traen un comando para esto. Abre una terminal en la carpeta del archivo y cambia el nombre por el tuyo.
- Windows PowerShell: Get-FileHash .\archivo.iso muestra el SHA-256 por defecto. Añade -Algorithm MD5 o -Algorithm SHA512 para otros hashes. PowerShell compara textos sin distinguir mayúsculas, así que también puedes escribir (Get-FileHash .\archivo.iso).Hash -eq "valor esperado" y obtener True o False.
- Símbolo del sistema de Windows: certutil -hashfile archivo.iso SHA256. Cambia SHA256 por MD5, SHA1 o SHA512 si hace falta.
- Terminal de macOS: shasum -a 256 archivo.dmg para SHA-256, shasum -a 512 para SHA-512 y md5 archivo.dmg para MD5.
- Linux: sha256sum archivo.iso, sha512sum o md5sum. Si el proyecto ofrece un archivo SHA256SUMS, ponlo en la misma carpeta y ejecuta sha256sum -c SHA256SUMS: cada archivo de la lista muestra OK o FAILED.
- Cualquier dispositivo con navegador: la herramienta de esta página, útil en ordenadores de trabajo bloqueados, Chromebooks y teléfonos donde no puedes abrir una terminal.
Qué demuestra una coincidencia y qué no
Una coincidencia demuestra que tu archivo es idéntico al archivo con el que se calculó el checksum. Eso detecta los problemas más comunes: una descarga interrumpida, una memoria USB o tarjeta SD dañada, un servidor espejo (mirror) defectuoso o un proxy que modificó el archivo.
No demuestra que el archivo sea de fiar si un atacante controla a la vez el archivo y la página donde aparece el checksum. Quien entra en un servidor de descargas puede cambiar el archivo y el hash publicado al mismo tiempo. Por eso los proyectos serios también firman sus archivos de checksums (por ejemplo, un SHA256SUMS con su firma .gpg) o firman el instalador, algo que Windows muestra como editor verificado y que macOS comprueba con la notarización. Para software importante, toma el checksum de una fuente distinta a la del archivo: la web principal del proyecto, sus notas de versión o su cuenta oficial, no el mirror desde el que descargaste.
MD5 y SHA-1 siguen sirviendo para detectar daños accidentales, porque un error aleatorio no produce una colisión. Frente a una manipulación intencionada, confía solo en SHA-256 o superior.
Cuando el checksum no coincide
- Comprueba que comparas el mismo algoritmo. Un valor SHA-1 nunca coincidirá con un resultado SHA-256. La herramienta compara con los cinco hashes a la vez para descartarlo.
- Asegúrate de tener el archivo correcto. Las páginas de descarga suelen listar varias versiones (x64, ARM, instalador, portable) y cada una tiene su propio checksum.
- Copia el valor completo. Un checksum al que le falta un carácter no coincide. La herramienta ignora los espacios y saltos de línea del valor pegado.
- Vuelve a descargar, mejor desde la fuente oficial que desde un mirror y con una conexión estable. Las descargas incompletas son la causa más habitual de que no coincida.
- No uses el archivo si sigue sin coincidir tras descargarlo de nuevo desde el sitio oficial. Avisa a quien lo publica.
- Si calculas el hash de un texto en lugar de un archivo, un salto de línea final o una codificación distinta cambian el resultado. Los checksums de las páginas de descarga siempre se calculan sobre el propio archivo.
Archivos grandes y privacidad
Algunas herramientas de checksum en línea suben tu archivo a un servidor. Con una imagen de disco de 4 GB eso es lento, y con documentos privados, copias de seguridad o versiones sin publicar es mala idea. El comprobador de esta página lee el archivo directamente desde tu disco en el navegador; los hashes SHA los calcula el motor Web Crypto integrado en el navegador y no se envía nada.
Los archivos de varios cientos de megabytes funcionan en la mayoría de ordenadores y teléfonos. Como el archivo se carga entero en memoria, las imágenes muy grandes de varios gigabytes pueden superar lo que permite una pestaña del navegador; para esas, mejor los comandos de arriba.