Checksum de arquivos

Verifique downloads sem enviar o arquivo

O checksum de um arquivo é uma impressão digital curta dos bytes exatos que o compõem. Projetos de software costumam publicar checksums SHA ao lado de instaladores, arquivos compactados e imagens de firmware para que você possa confirmar que o download chegou intacto. Esta ferramenta lê o arquivo selecionado no seu navegador, passa os bytes para crypto.subtle.digest e exibe os resultados SHA-1, SHA-256 e SHA-512 como texto hexadecimal em minúsculas. O arquivo nunca sai do seu dispositivo. Isso torna a página útil para verificar documentos privados, downloads grandes ou artefatos de build internos quando você não quer enviar o arquivo a um serviço online só para calcular um digest.

Comparando um hash esperado

Cole o checksum fornecido pelo publicador no campo do hash esperado, antes ou depois de calcular. A comparação ignora espaços, dois-pontos e diferenças entre maiúsculas e minúsculas, o que facilita conferir hashes copiados de notas de versão, gerenciadores de pacotes ou da saída do terminal. Uma correspondência significa que o arquivo escolhido tem os mesmos bytes para aquele algoritmo. Um resultado sem correspondência deve ser tratado com cuidado: você pode ter selecionado outra versão, copiado o algoritmo errado, baixado um arquivo incompleto ou recebido conteúdo modificado. Baixe novamente da fonte oficial e compare com uma página confiável antes de instalar ou abrir algo sensível.

Limites dos checksums e bons hábitos

Checksums são excelentes para detectar corrupção acidental e confirmar que duas cópias são idênticas, mas só são tão confiáveis quanto o local de onde você obteve o valor esperado. Se um invasor puder substituir tanto o arquivo quanto o hash publicado, um checksum sozinho não consegue provar a autenticidade. Prefira SHA-256 ou SHA-512 de uma página de lançamentos HTTPS, de um registro de pacotes ou de um anúncio assinado. O SHA-1 está incluído porque projetos mais antigos ainda o publicam, mas não é uma boa escolha para novos fluxos de trabalho sensíveis à segurança. Para software importante, procure também assinatura de código, assinaturas separadas ou informações de builds reproduzíveis. Esta ferramenta do navegador é um primeiro passo privado: ela fornece o digest localmente para que você o compare com a fonte mais forte disponível.