Cuando descargas un instalador, una imagen ISO o un archivo comprimido grande, una conexión interrumpida puede dejarte un archivo dañado sin que lo notes a simple vista. La forma estándar de comprobarlo es comparar el hash del archivo descargado con el que publica el propio editor.
Qué es un hash y para qué sirve
Respuesta cortaUn hash es una huella digital de longitud fija que se calcula a partir de un archivo o un texto. Si un solo bit del archivo cambia — por una descarga interrumpida o una manipulación deliberada — el hash resultante es completamente distinto, lo que permite detectar el problema al instante.
Los algoritmos de hash más habituales son MD5, SHA-1, SHA-256 y SHA-512. Todos toman una entrada de cualquier tamaño y producen una salida de longitud fija: MD5 da 32 caracteres hexadecimales, SHA-1 da 40, SHA-256 da 64 y SHA-512 da 128. Los mismos datos siempre producen el mismo hash, por lo que sirve como comparación objetiva entre "lo que descargaste" y "lo que el editor publicó originalmente".
Función unidireccional: un hash no se puede revertir para recuperar los datos originales. Por eso se usa tanto para verificar integridad de archivos como, en otro contexto distinto, para almacenar contraseñas de forma que no queden en texto plano.
MD5 frente a la familia SHA
Respuesta cortaMD5 es más rápido pero está criptográficamente roto — sirve para detectar errores de descarga, no para nada relacionado con seguridad. SHA-256 y SHA-512 son los estándares actuales, recomendados quien necesite garantías de seguridad reales, como firmas digitales o certificados.
La tabla siguiente resume, a modo de ejemplo, la longitud de salida y el uso recomendado de cada algoritmo:
| Algoritmo | Longitud (hex) | Uso recomendado |
|---|
| MD5 | 32 caracteres | Checksum rápido no crítico |
| SHA-1 | 40 caracteres | Solo compatibilidad heredada |
| SHA-256 | 64 caracteres | Estándar actual, verificación e integridad |
| SHA-512 | 128 caracteres | Mayor margen de seguridad |
Ejemplo ilustrativo: si un editor de software publica el SHA-256 de su instalador y tu descarga produce un hash SHA-256 distinto, aunque solo difiera en un carácter, el archivo no coincide con el original — vuelve a descargarlo antes de ejecutarlo.
Cómo verificar un archivo paso a paso
Respuesta cortaSube el archivo a la pestaña "Archivo" del generador de hash, pega el hash que te dio el editor en el campo "Hash esperado" y la herramienta comparará automáticamente ambos valores, detectando el algoritmo por la longitud del texto pegado.
En la práctica, el proceso son cuatro pasos: primero localiza el hash publicado (normalmente junto al enlace de descarga, como SHA-256 o MD5). Después arrastra el archivo descargado a la herramienta — el cálculo ocurre íntegramente en tu navegador mediante la API Web Crypto, así que el archivo nunca se envía a ningún servidor. A continuación pega el hash esperado; la detección automática reconoce si son 32, 40, 64 o 128 caracteres. Por último, revisa el resultado: una marca de coincidencia en verde confirma que el archivo está intacto.
Esta comprobación también es útil para hashear texto simple — por ejemplo, para generar un identificador único a partir de una cadena, o para comparar dos versiones de un mismo documento y confirmar que son idénticas byte a byte.
Cuándo usar HMAC en lugar de un hash simple
Respuesta cortaUsa HMAC cuando necesites demostrar que un mensaje fue generado por alguien que conoce una clave secreta — por ejemplo, para verificar que un webhook realmente proviene del servicio que dice enviarlo, no de un tercero que copió el formato del mensaje.
Un hash normal (como SHA-256 de un texto) lo puede recalcular cualquiera que tenga acceso al texto; no demuestra quién lo generó. HMAC-SHA256 y HMAC-SHA512 añaden una clave secreta compartida al cálculo, de forma que solo el emisor y el receptor que conocen esa clave pueden generar o comprobar la firma correcta. Esta técnica es habitual en APIs de pago, integraciones de webhooks y protocolos de autenticación.
Calcula MD5, SHA-1, SHA-256, SHA-384, SHA-512, HMAC y CRC32 al instante, con comparación de integridad de archivos incluida.
Probar el generador de hash →
Preguntas frecuentes
¿Qué hash debo usar para comprobar un archivo descargado?
Usa el hash que te indique el editor del archivo, normalmente SHA-256. Si solo te dan MD5, también sirve para detectar una descarga dañada, aunque MD5 no debe usarse para nada relacionado con seguridad.
¿Por qué mi hash no coincide con el que publica la web oficial?
Casi siempre es porque la descarga se cortó o se dañó a mitad de camino, porque copiaste el hash con espacios o saltos de línea de más, o porque comparaste un algoritmo distinto (por ejemplo, tu herramienta calculó SHA-1 y la web publicó SHA-256). Vuelve a descargar el archivo y revisa que el hash pegado tenga la longitud correcta.
¿Es seguro calcular el hash de un archivo confidencial en una web?
Depende de la herramienta. En el generador de hash de ToolPico todo el cálculo ocurre en tu propio navegador mediante JavaScript y la API Web Crypto; el archivo nunca se sube a ningún servidor, así que es seguro incluso con documentos privados.
¿Puedo usar MD5 para guardar contraseñas de usuarios?
No. MD5 es rápido y tiene colisiones conocidas, lo que lo hace inadecuado para contraseñas. Para contraseñas se usan funciones diseñadas para ser lentas, como bcrypt o Argon2, no un hash genérico como MD5 o SHA-256 sin más.
¿Cuál es la diferencia entre un hash simple y un HMAC?
Un hash simple (como SHA-256 de un mensaje) puede recalcularlo cualquiera que tenga el mensaje. Un HMAC añade una clave secreta al cálculo, de forma que solo quien conoce esa clave puede generar o verificar la firma; por eso se usa para autenticar webhooks y solicitudes de API.
Nota: Los valores numéricos y de ejemplo de esta guía son ilustrativos, no una medición certificada de ningún archivo real. Esta página es solo informativa; para instrucciones de seguridad de tu organización, consulta siempre la documentación oficial del software o servicio correspondiente.