Sobre: Gerador de hash SHA-256

SHA-256 é uma função de hash criptográfica da família SHA-2. Ela transforma qualquer entrada – uma palavra curta, um documento ou uma imagem de disco de vários gigabytes – em um valor fixo de 256 bits, normalmente escrito como 64 caracteres hexadecimais. Mudar um único bit da entrada produz um hash completamente diferente, e é por isso que os checksums SHA-256 são a forma padrão de confirmar que um download, um backup ou um arquivo copiado está completo e sem alterações.

Esta ferramenta calcula o hash de textos (codificados como UTF-8) e de arquivos. Os arquivos são processados por um worker em segundo plano, e os grandes são lidos em partes de 4 MB e processados de forma incremental, então até arquivos muito grandes podem ser verificados sem serem carregados inteiros na memória e sem travar a página. Cole o checksum publicado pelo fornecedor para ver na hora se ele corresponde.

Todo o cálculo acontece localmente no seu navegador. Seus textos e arquivos nunca são enviados.

Como usar

Escolha “Texto” ou “Arquivos” em “Entrada”.
Para texto, digite ou cole em “Texto para calcular o hash”. Os campos “SHA-256 (hex)” e “SHA-256 (Base64)” são atualizados enquanto você digita.
Para arquivos, clique em “Escolher arquivos” ou arraste um ou mais arquivos para a caixa. Eles são processados um após o outro, com uma barra de progresso; “Cancelar” interrompe o cálculo e “Calcular de novo” reinicia um arquivo cancelado.
Para verificar um checksum, cole o valor esperado em “Comparar com o hash esperado”. Cada resultado mostra “Corresponde” ou “Não corresponde”.
Marque “Hex em maiúsculas” se precisar de letras maiúsculas e use os botões “Copiar” para copiar um hash.

Recursos

Arquivos de qualquer tamanho: Os arquivos passam pelo hash em blocos de 4 MB dentro de um Web Worker, então o uso de memória fica baixo e a página continua responsiva. Arquivos de até 64 MB usam a Web Crypto nativa do navegador quando ela está disponível; arquivos maiores usam a implementação de SHA-256 da própria ferramenta.
Comparação de checksums: Cole o hash esperado em hex, com letras maiúsculas ou minúsculas, ou em Base64. Uma linha copiada de um arquivo sha256sum ("hash filename") ou um valor com o prefixo sha256: também funciona.
Vários arquivos de uma vez: Adicione muitos arquivos de uma só vez e veja o progresso, o tempo e a velocidade de cada um. Um único hash esperado é comparado com todos os arquivos, o que ajuda a achar o arquivo certo em uma pasta de downloads.
Saída em hex e Base64: Obtenha o digest em hexadecimal, com letras minúsculas ou maiúsculas, e em Base64 – a forma usada, por exemplo, em atributos de Subresource Integrity.
Implementação verificada: O código SHA-256 próprio da ferramenta é testado com os vetores de teste oficiais do FIPS 180-4 e comparado com uma implementação de referência consolidada para entradas de 0 bytes até vários megabytes.

Exemplos

Verificar um instalador ou uma imagem ISO baixados

Páginas de download costumam publicar uma linha como "3f2a…9c1e distro-24.04.iso". Escolha “Arquivos”, adicione a ISO baixada e cole essa linha em “Comparar com o hash esperado”. “Corresponde” significa que o arquivo é exatamente aquele de que o editor calculou o hash.

Conferir se duas cópias são idênticas

Adicione o original e a cópia de backup de um arquivo. Se os dois mostrarem o mesmo SHA-256, o conteúdo deles é idêntico byte a byte, mesmo que os nomes ou as datas sejam diferentes.

Criar um valor de Subresource Integrity

Calcule o hash de um arquivo JavaScript ou CSS que você serve por uma CDN e copie o resultado em Base64. Com o prefixo sha256-, ele vai no atributo integrity da tag <script> ou <link>.

Entender um resultado diferente na linha de comando

Digitar hello gera 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824. Já o comando echo "hello" | sha256sum mostra 5891b5b5…6be03, porque o echo adiciona uma quebra de linha. Use echo -n para calcular o hash dos mesmos bytes.

Limitações e observações

O SHA-256 sozinho não serve para armazenar senhas. Ele foi feito para ser rápido, então hashes roubados podem ser atacados com bilhões de tentativas por segundo. Use uma função própria para hash de senhas, como Argon2, scrypt, bcrypt ou PBKDF2, com um salt único; use o SHA-256 para verificações de integridade.
Um hash que corresponde só prova a integridade se o valor esperado vier de uma fonte confiável, como a página HTTPS do editor ou um arquivo de checksums assinado. Quem consegue substituir o arquivo muitas vezes também consegue substituir um checksum guardado ao lado dele.
No texto que você digita ou cola, as quebras de linha são normalizadas para LF pelo navegador, e o texto é codificado como UTF-8. Para calcular o hash dos bytes exatos de um arquivo de texto (por exemplo, com finais de linha CRLF do Windows), adicione o próprio arquivo.
Arquivos vazios (0 byte) são aceitos; o SHA-256 deles é sempre e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855, então esse valor significa que o arquivo não tem conteúdo.
A velocidade do cálculo depende do seu dispositivo. Arquivos acima de 64 MB, ou todos os arquivos em navegadores sem Web Crypto (por exemplo, em páginas que não são servidas por HTTPS), usam a implementação própria, que é mais lenta que o código nativo.
Só o SHA-256 é calculado. Outros algoritmos, como MD5, SHA-1 ou SHA-512, não são suportados.

Perguntas frequentes

Um hash SHA-256 pode ser descriptografado ou revertido?

Não. Um hash é uma impressão digital de mão única, não um dado criptografado, então não há nada para descriptografar. A única forma de achar uma entrada para um hash é chutar entradas e comparar – o que só é viável para entradas curtas ou comuns, como senhas fracas.

Por que meu hash é diferente do que outra ferramenta mostra?

Quase sempre a entrada é um pouco diferente: uma quebra de linha no final (o echo adiciona uma), finais de linha do Windows em vez dos do Unix, um espaço no início ou no fim, ou outra codificação de texto. Para arquivos, confira se o download terminou e se você está comparando o arquivo certo.

Devo usar SHA-256 para armazenar senhas de usuários?

Não sozinho. SHA-256 puro ou com salt é rápido demais para resistir a tentativas offline. O armazenamento de senhas precisa de um algoritmo propositalmente lento e com salt, como Argon2id, scrypt, bcrypt ou PBKDF2 com muitas iterações.

Qual é a diferença entre a saída em hex e em Base64?

As duas codificam o mesmo digest de 32 bytes. O hex usa 64 caracteres (0–9, a–f) e é o que arquivos de checksum e a maioria dos sites mostram. O Base64 usa 44 caracteres e aparece em lugares como o Subresource Integrity e algumas APIs.

Meus arquivos são enviados para calcular o hash?

Não. Os arquivos são lidos diretamente do seu dispositivo por esta página e processados no seu navegador. Nada é enviado pela rede, e arquivos grandes nunca precisam sair do seu computador.

Gerador de hash SHA-256