Gerador de Hash SHA-256 e Ferramenta de Checksum

O que é SHA-256?

// Hash text using Web Crypto API (SHA-256)
async function sha256(text) {
  const data = new TextEncoder().encode(text);
  const hash = await crypto.subtle.digest('SHA-256', data);
  return Array.from(new Uint8Array(hash))
    .map(b => b.toString(16).padStart(2, '0'))
    .join('');
}

await sha256('Hello, World!');
// → 'dffd6021bb2bd5b0af676290809ec3a53191dd81c7f70a4b28688a362182986f'

Exemplos de SHA-256

ubuntu-24.04.iso

-----BEGIN CERTIFICATE-----MIIDXTCCAkWg...

/* CSS file contents */

password123

ef92b778bafe771e89245b89ecbc08a44a4e166c06659911881f383d4473e94f

Como Gerar Hashes SHA-256

1. 1

   Cole texto ou solte um arquivo

   Selecione a aba Texto e cole qualquer string na área de entrada, ou mude para a aba Arquivo e arraste um arquivo da sua área de trabalho para a zona de soltura. O seletor de algoritmo SHA-256 já está ativo. O hash é calculado conforme você digita — sem botão Gerar para clicar. Para arquivos, um indicador de progresso aparece para uploads grandes (>10 MB).

2. 2

   Copie o hash de 64 caracteres

   Clique no botão Copiar ao lado da saída do hash. O valor hex completo de 64 caracteres vai para a sua área de transferência. Use o botão Maiúsculas/Minúsculas se o seu sistema downstream exigir um caso específico — o Git usa minúsculas, algumas ferramentas do Windows usam maiúsculas por padrão.

3. 3

   Verifique com a aba Comparar

   Mude para a aba Comparar e cole dois hashes SHA-256 (por exemplo, o seu e o de um distribuidor). A ferramenta relata correspondência/não correspondência com comparação em tempo constante, para que o resultado não vaze informações de temporização. Útil para verificar arquivos ISO baixados, digests de imagens de contêineres ou impressões digitais de JARs assinados.

Detalhes Técnicos

Algoritmo: família SHA-2, construção Merkle-Damgård

SHA-256 processa a entrada em blocos de 512 bits, aplicando 64 rodadas de operações bitwise (rotações, XORs, adições módulo 2^32) com constantes derivadas das raízes cúbicas dos primeiros 64 números primos. O hash final é o estado interno após o último bloco. Implementação: FIPS 180-4 seções 4.2 e 6.2.

Saída: 256 bits, 64 caracteres hexadecimais

Sempre exatamente 64 caracteres no intervalo [0-9a-f] (minúsculas) ou [0-9A-F] (maiúsculas). Diferentes codificações (Base64, Base64URL) encurtam a string; esta ferramenta gera a forma hex canônica.

Desempenho: ~500 MB/s no navegador, ~2 GB/s nativo

A implementação SHA-256 da Web Crypto é C/Rust compilado rodando fora da VM JavaScript, sendo competitiva com ferramentas nativas. Taxa de hash típica no navegador: 300–800 MB/s. Um arquivo de 1 GB é processado em 1–3 segundos.

Padrões: FIPS 180-4, RFC 6234, NIST SP 800-107

Atualmente aprovado pelo NIST para todos os níveis de força de segurança até 2030 e além. Exigido pelo PCI DSS 4.0 para integridade de dados de titulares de cartão, pelo FedRAMP e por avaliações Common Criteria EAL2+.

Boas Práticas

Sempre faça hash de bytes UTF-8, não de pontos de código Unicode

Diferentes codificações da mesma string produzem hashes diferentes. UTF-8 é o padrão de facto; esta ferramenta codifica a entrada como UTF-8 antes de fazer o hash. Se você precisar corresponder a uma ferramenta que usa UTF-16 (algumas APIs do Windows) ou Latin-1, você precisa pré-codificar externamente.

Use comparação em tempo constante ao verificar

Se você está comparando dois hashes no código, use uma verificação de igualdade em tempo constante (timingsafe_equal no Node.js, hmac.compare_digest no Python). === ou strcmp ingênuo vaza informações de temporização que podem ser exploradas para recuperar o hash. A aba Comparar desta ferramenta já usa comparação em tempo constante.

Truncar SHA-256 é aceitável para usos não relacionados à segurança

Para nomes de arquivos com cache busting ou IDs curtos de conteúdo, pegar os primeiros 8 ou 16 hex de um hash SHA-256 é adequado — a probabilidade de colisão ainda é astronomicamente baixa em escala de internet. Para uso criptográfico (assinaturas, impressões digitais), sempre mantenha os 64 chars completos.

Combine com salt para qualquer uso com chave

Se você está usando SHA-256 para derivar uma chave ou token de um segredo, sempre inclua um salt único por entrada. Sem salt, entradas idênticas produzem hashes idênticos — o que vaza informações. Melhor ainda: use HKDF (RFC 5869) ou HMAC-SHA-256 em vez de SHA-256 bruto para derivação de chave.

Perguntas Frequentes sobre SHA-256