Cómo verificar la suma de comprobación de un archivo (SHA-256)

Qué indica una suma de comprobación

Una suma de comprobación (checksum) es una huella corta calculada a partir de cada byte de un archivo. Si la suma de tu descarga coincide con la que publica el desarrollador, el archivo es idéntico al suyo. Si cambia un solo byte, porque la descarga se cortó o alguien modificó el archivo, la suma es completamente distinta.

En el navegador

1. Abre el Generador de hash.
2. Elige el archivo descargado. Sus hashes se calculan en tu ordenador.
3. Pega la suma publicada en "Comparar con". La coincidencia se confirma al momento.

En Windows

En el Símbolo del sistema:

certutil -hashfile archivo.iso SHA256

O en PowerShell, que usa SHA-256 por defecto:

Get-FileHash archivo.iso

En Mac

shasum -a 256 archivo.iso

En Linux

sha256sum archivo.iso

MD5 y SHA-1

Algunas webs todavía publican sumas MD5 o SHA-1. Sirven para detectar una descarga rota, pero no para detectar una manipulación intencionada, porque se pueden fabricar archivos falsos que coincidan. Usa SHA-256 cuando esté disponible.

Un ejemplo práctico

Crea un archivo de texto que contenga solo la palabra hello, sin salto de línea al final. Su suma SHA-256 es

2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

Pulsa Intro después de la palabra y vuelve a guardar. El archivo tiene un byte más y la suma pasa a ser

5891b5b522d5df086d0ff0b110fbd9d21bb4fc7163af34d08286a2e846f6be03

El segundo hash no se parece en nada al primero. Para eso sirve una suma de comprobación: cualquier cambio, por pequeño que sea, da un resultado completamente distinto.

Problemas frecuentes

• Los hashes casi coinciden. No existe el "casi". O coinciden todos los caracteres o los archivos son distintos. Compara la cadena entera, no solo los primeros y últimos caracteres. Mayúsculas y minúsculas cuentan igual.
• Comparaste con otro archivo. Las páginas de descarga suelen listar varias sumas: el instalador, la imagen de disco, 32 y 64 bits. Comprueba también el nombre del archivo.
• La suma está junto a la descarga. Demuestra que el archivo no se dañó por el camino. Si hackearan el propio servidor, podrían haber cambiado ambos. Los proyectos que firman sus archivos de sumas (.asc o .sig) permiten comprobar la firma con GPG para descartarlo.