Cómo verificar el checksum de un archivo (SHA-256 y MD5)
Las webs de software suelen publicar una larga cadena de letras y números junto al botón de descarga. Es un checksum (suma de verificación), y compararlo lleva menos de un minuto. Así puedes hacerlo en cualquier ordenador, y esto es de lo que realmente te protege.
Respuesta rápida
Calcula el hash del archivo y compáralo con el que publica el desarrollador. En el navegador, suelta el archivo en un generador de hash y pega el checksum esperado. En Windows, ejecuta Get-FileHash archivo.zip en PowerShell. En Mac, ejecuta shasum -a 256 archivo.zip. En Linux, ejecuta sha256sum archivo.zip. Si los valores coinciden exactamente, el archivo está intacto.
¿Qué es un checksum?
Un checksum (o hash) es una huella corta calculada a partir del contenido de un archivo. El mismo archivo da siempre el mismo hash, pero cambiar un solo bit produce uno completamente distinto. Al comparar tu hash con el del desarrollador, confirmas que el archivo descargado es idéntico byte a byte al original.
¿Por qué verificar las descargas?
- Corrupción. Las descargas interrumpidas y el almacenamiento defectuoso pueden dañar archivos, lo que provoca instalaciones fallidas o imágenes de disco inservibles.
- Manipulación. Si un mirror o una web de descargas se ha visto comprometido, el archivo puede contener malware. Un checksum que no coincide es una señal de alarma.
- Archivos grandes. Las imágenes de sistemas operativos (ISO), el firmware y las copias de seguridad merecen una comprobación antes de grabarlos o restaurarlos.
Importante: un checksum solo sirve si lo obtienes de una fuente de confianza, idealmente la web oficial del desarrollador con HTTPS. Si los atacantes controlan la página de descarga, pueden cambiar tanto el archivo como el checksum. Para software de alta seguridad, los desarrolladores también publican firmas digitales (por ejemplo, firmas GPG) que demuestran quién creó el archivo.
Método 1: en tu navegador (cualquier sistema)
- Abre el generador de hash gratuito y cambia a la pestaña Archivo.
- Suelta el archivo descargado. Se calculan a la vez MD5, SHA-1, SHA-256, SHA-384 y SHA-512.
- Pega el checksum publicado en el campo de verificación.
- Si coincide, se resalta el algoritmo correspondiente.
El archivo se procesa localmente con el motor Web Crypto de tu navegador. No se sube, lo que además permite trabajar con archivos grandes sin esperar a ninguna subida.
Pruébalo gratis: Generador de hash
Genera hashes MD5, SHA-1 y SHA-256 de textos y archivos. Funciona en tu navegador, sin registro.
Método 2: Windows (PowerShell o símbolo del sistema)
Abre PowerShell en la carpeta del archivo y ejecuta:
Get-FileHash .\archivo.zip -Algorithm SHA256Cambia SHA256 por MD5, SHA1 o SHA512 según necesites. En el símbolo del sistema, usa:
certutil -hashfile archivo.zip SHA256Para comparar automáticamente en PowerShell:
(Get-FileHash .\archivo.zip).Hash -eq "PEGA_AQUI_EL_HASH_ESPERADO"Muestra True si coinciden. La comparación no distingue mayúsculas de minúsculas.
Método 3: macOS (Terminal)
shasum -a 256 archivo.zip
md5 archivo.zipMétodo 4: Linux
sha256sum archivo.zip
md5sum archivo.zipSi el desarrollador ofrece un archivo de checksums (a menudo llamado SHA256SUMS), ponlo en la misma carpeta y ejecuta sha256sum -c SHA256SUMS para comprobarlo todo de una vez.
MD5, SHA-1 y SHA-256
| Algoritmo | Longitud del hash | Seguridad | Úsalo para |
|---|---|---|---|
| MD5 | 128 bits (32 caracteres hexadecimales) | Roto: es fácil crear colisiones | Solo detectar daños accidentales |
| SHA-1 | 160 bits (40 hex) | Roto: colisiones prácticas demostradas en 2017 | Solo sistemas antiguos |
| SHA-256 | 256 bits (64 hex) | Seguro | Descargas, firmas, la opción actual por defecto |
| SHA-512 | 512 bits (128 hex) | Seguro | Cuando se prefiere un margen mayor |
"Roto" significa que un atacante puede fabricar dos archivos distintos con el mismo hash. MD5 sigue detectando daños accidentales, pero no protege contra una manipulación deliberada. Usa SHA-256 siempre que el desarrollador lo ofrezca.
Qué hacer si el checksum no coincide
- Comprueba que comparas el mismo algoritmo. Un hash SHA-256 (64 caracteres) nunca coincidirá con uno MD5 (32 caracteres).
- Comprueba la versión. Asegúrate de que el checksum corresponde exactamente al archivo y a la versión que descargaste.
- Descárgalo de nuevo desde la web oficial, no desde un mirror.
- ¿Sigue sin coincidir? No abras ni instales el archivo. Bórralo y contacta con el desarrollador.
Preguntas frecuentes
¿Importan las mayúsculas y minúsculas?
No. Los hash hexadecimales son iguales en mayúsculas o minúsculas. Nuestra herramienta te permite cambiar el formato para que coincida con el publicado.
¿Se puede invertir un hash para recuperar el archivo?
No. Las funciones hash son de un solo sentido. Solo puedes comparar hashes, no recuperar el contenido original.
¿Por qué dos archivos distintos nunca parecen compartir hash?
Con algoritmos seguros como SHA-256, el número de hashes posibles es tan astronómicamente grande que una coincidencia accidental es, en la práctica, imposible.
¿Puedo calcular el hash de un texto, no solo de archivos?
Sí. Usa la pestaña Texto para calcular el hash de cualquier cadena. Los desarrolladores lo usan para claves de caché, ETags y comparaciones de datos.
En resumen
Verificar un checksum lleva un minuto y te protege de descargas dañadas o manipuladas. Obtén el checksum de la web oficial, prefiere SHA-256 y nunca ejecutes un archivo cuyo hash no coincida.
¿Algo desactualizado o poco claro? Escribe a contact@ultratoolsai.com y lo corregiremos.
