Gerador de Hash SHA Online

Um hash criptográfico é uma função que transforma uma entrada de qualquer tamanho numa sequência de tamanho fixo, chamada hash ou resumo (digest, em inglês). A conta é de mão única: não existe caminho do hash de volta ao texto. Uma mudança mínima na entrada, como trocar uma letra maiúscula por minúscula, gera um hash completamente diferente, o chamado efeito avalanche. Por isso o hash é usado para conferir a integridade de dados, guardar senhas (com algoritmo próprio, lento e com sal) e montar assinaturas digitais.

Os quatro são da família SHA (Secure Hash Algorithm), definida pelo NIST na norma FIPS 180-4, e a diferença principal é o tamanho da saída. O SHA-1 tem 160 bits (40 caracteres hexadecimais) e colisão prática publicada em 2017, e o NIST pede que ele saia de uso até 31 de dezembro de 2030. O SHA-256 tem 256 bits (64 caracteres) e é o padrão atual para conferir download e assinar documentos. O SHA-384 e o SHA-512 têm 384 e 512 bits, com 96 e 128 caracteres.

Não, porque hash não é criptografia: não existe chave que desfaça a conta, e em teoria um mesmo hash corresponde a uma quantidade astronômica de textos diferentes. Os sites que prometem descriptografar SHA-256 fazem outra coisa. Eles procuram o hash numa tabela de hashes já calculados de senhas vazadas e palavras comuns. Se o texto original era 123456, ele aparece, porque alguém já calculou aquele hash antes. Para um texto longo ou sorteado não existe tabela, e o único caminho seria testar uma a uma as combinações possíveis.

Quase sempre porque os bytes de entrada não são os mesmos, mesmo com o texto parecendo igual na tela. A causa mais comum é a quebra de linha no fim: o comando echo acrescenta uma, e o certo é usar printf ou echo -n. Depois vêm o espaço sobrando nas pontas, a quebra de linha do Windows (CRLF) contra a do Linux (LF), maiúscula no lugar de minúscula e acento gravado numa codificação que não é UTF-8. Confira também o algoritmo: um SHA-1 nunca vai bater com um SHA-256.

Porque a Web Crypto API, que faz o cálculo dentro do navegador, não implementa MD5: ela oferece SHA-1, SHA-256, SHA-384 e SHA-512. O MD5 também não deveria ser usado para segurança. A primeira colisão dele foi publicada em 2004, e a RFC 6151, de 2011, diz que o MD5 não é mais aceitável onde se exige resistência a colisão, como em assinatura digital. Se um sistema antigo ainda pede MD5 de um texto, o terminal resolve: printf 'texto' | md5sum no Linux ou md5 -s 'texto' no macOS.

Checksum, ou soma de verificação, é qualquer valor calculado a partir de um conteúdo para descobrir se ele mudou. Pode ser uma soma simples, um CRC32 (o dos arquivos ZIP e das redes Ethernet) ou um hash criptográfico como o SHA-256. A diferença está no erro que cada um pega. O CRC detecta falha acidental de transmissão, mas é fácil de forjar de propósito. O SHA-256 também resiste a quem altera o arquivo de propósito. Quando um site de download fala em checksum SHA-256, é o hash SHA-256 do arquivo.

Sim, essa é uma das principais aplicações. Sites de download costumam publicar o hash SHA-256 de cada arquivo. Depois de baixar, você gera o hash do arquivo que chegou e compara com o publicado. Se forem iguais, o arquivo não foi corrompido nem alterado no caminho. Esta página calcula o hash de um texto. Para conferir um arquivo baixado, use a página verificar hash de arquivo, que lê o arquivo no próprio navegador e compara com o valor que você colar.

SHA puro não é recomendado para armazenar senhas. Para senhas, use algoritmos feitos para isso, como bcrypt, scrypt, Argon2 ou PBKDF2, que são lentos de propósito e usam sal para resistir a ataques de dicionário e a tabelas rainbow. O SHA é muito rápido, e essa velocidade ajuda quem tenta adivinhar senhas em massa. Para verificar a integridade de arquivos e dados, SHA-256 ou SHA-512 são adequados.

É o campo opcional em que você cola o hash publicado por alguém, para a página comparar com o que ela calculou. A comparação ignora a diferença entre maiúsculas e minúsculas e os espaços nas pontas, e o veredito aparece como Hash confere ou Hash divergente, logo acima dos detalhes. O campo espera só o hexadecimal. Se você colar a linha inteira do sha256sum, com o nome do arquivo no fim, a comparação dá divergente. Para essa linha completa, a página verificar hash de arquivo limpa o texto antes de comparar.

Tamanho do hash é quanto o resultado ocupa: 32 bytes no SHA-256, ou 256 bits, e esse número não muda com o texto. Tamanho do input é quanto o seu texto ocupa depois de convertido para UTF-8, que é o que entra na conta. Ele pode passar do número de letras, porque cada letra acentuada ocupa 2 bytes: a palavra ação tem 4 caracteres e 6 bytes, e um emoji comum ocupa 4. Por isso o mesmo texto gravado em outra codificação gera outro hash.

Não. O cálculo usa só a Web Crypto API, que já vem no navegador, pela função crypto.subtle.digest. A página não carrega biblioteca de terceiros para isso: quem faz a conta é a biblioteca de criptografia do próprio navegador, escrita em código nativo e presente nas versões atuais do Chrome, do Edge, do Firefox e do Safari. Para os mesmos bytes, o resultado é o mesmo do sha256sum no Linux, do shasum no macOS e do Get-FileHash no Windows, que só mostra as letras em maiúsculas.

Não. O texto vira bytes e passa pela Web Crypto API dentro da própria aba, e o conteúdo não sai do seu aparelho. A página também não grava o que você digita: a caixa de texto fica fora do recurso de continuar de onde parou e do cenário salvo na conta, porque quem gera hash costuma colar chave de API, token ou senha para conferir. Mesmo assim, o hábito mais seguro é não colar senha em uso em nenhuma ferramenta online.