Gerador de hash — MD5, SHA-1, SHA-256, SHA-512, CRC32 e HMAC

Sim. Selecione ou solte até 500 arquivos juntos na aba Arquivo. Eles são processados um após o outro com os algoritmos que você marcou, cada um lido em blocos de 4 MB para que o uso de memória fique baixo, e um arquivo que não pode ser lido é marcado como falha sem interromper os demais. Baixe os resultados como um .txt no formato do GNU coreutils (igual à saída do sha256sum, md5sum ou sha512sum, para que o sha256sum -c possa verificá-lo) ou como um CSV com todos os algoritmos. Você também pode colar uma lista SHA256SUMS existente para conferir cada arquivo com ela.

Sim. Na aba Texto, marque “Gerar o hash de cada linha separadamente”. Cada linha é processada sozinha como UTF-8, sem a quebra de linha, até 5.000 linhas, e a tabela pode ser copiada como texto separado por tabulações ou baixada como CSV.

São funções de hash com tamanhos de saída e níveis de segurança diferentes. O MD5 produz 128 bits e o SHA-1, 160 bits; os dois estão quebrados para fins de segurança, porque pesquisadores conseguem criar duas entradas diferentes com o mesmo hash (o MD5 desde 2004, o SHA-1 publicamente desde o ataque SHAttered, de 2017). O SHA-256 produz 256 bits e não tem ataque prático conhecido. Use SHA-256 ou SHA-512 para qualquer coisa ligada a segurança; MD5 e SHA-1 continuam bons para detectar corrupção acidental.

Abra a aba Arquivo, solte o arquivo baixado e cole o checksum da página de download no campo de comparação. Se conferir, o arquivo que você tem é, byte a byte, o mesmo de que o publicador gerou o hash. Garanta que está comparando coisas equivalentes: um checksum SHA-256 tem 64 caracteres hexadecimais, o SHA-1 tem 40 e o MD5 tem 32. Para ter garantia de verdade, obtenha o checksum por HTTPS no site oficial, não no mesmo espelho do arquivo.

Não. Um hash é uma função de mão única: não há chave nem nada para descriptografar. O que os sites de “descriptografar MD5” fazem, na verdade, é procurar o hash em tabelas de strings comuns já processadas. É por isso que o hash de uma senha curta ou comum é fácil de achar, e por isso senhas devem ser armazenadas com um algoritmo lento e com salt, como bcrypt ou Argon2, nunca com um SHA-256 simples.

Os bytes de entrada são diferentes, geralmente de forma invisível. As causas comuns são uma quebra de linha no final (o echo acrescenta uma; use echo -n), finais de linha CRLF do Windows em vez de LF, uma codificação de texto diferente de UTF-8, espaços no início ou no fim, ou comparar um digest em hex com um em Base64. O hash muda completamente com a diferença de um único byte, então confira a contagem de bytes exibida abaixo da caixa de texto.

O HMAC (RFC 2104) combina uma chave secreta com uma função de hash para produzir uma assinatura que só quem tem a chave consegue criar. Provedores de webhooks como Stripe, GitHub e Shopify assinam os payloads com HMAC-SHA256 para que você possa verificar se uma requisição veio mesmo deles. Não faça isso por conta própria como sha256(key + message): com SHA-256, essa construção fica vulnerável a ataques de extensão de comprimento, que o HMAC foi feito para evitar.

É um checksum, não um hash criptográfico. O CRC32 é muito rápido e bom para detectar erros acidentais, como um bit trocado na transmissão, e por isso ZIP, gzip, PNG e Ethernet o usam. É trivial de falsificar de propósito, então nunca o use para provar que um arquivo não foi adulterado.