Gerador de Hash
Digite ou escolha um arquivo: os cinco resumos de uma vez.
- Tudo gratuitoSem conta, sem cota diária, sem plano pago.
- Nada é enviadoOs arquivos são processados no seu dispositivo e nunca chegam a um servidor.
- Sem pegadinha no resultadoSem marca d'água, sem redução forçada, sem limite de tamanho.
- Mudanças à vistaCada correção e cada ferramenta nova ficam registradas na página de novidades.
O que esta ferramenta de hash faz
Uma função de hash transforma qualquer entrada — uma frase, uma senha, uma imagem de disco de 4 GB — em uma impressão digital de comprimento fixo. Mude um único bit da entrada e a impressão digital muda por completo, o que faz dos hashes a forma padrão de verificar se um arquivo chegou intacto, de conferir se dois documentos são idênticos sem compará-los byte a byte, e de armazenar senhas sem armazenar a própria senha. Esta página calcula MD5, SHA-1, SHA-256, SHA-384 e SHA-512 simultaneamente para o que você digitar ou qualquer arquivo que selecionar, e mostra os resultados em hexadecimal ou Base64.
A família SHA roda na Web Crypto API do navegador, a mesma implementação usada pelo TLS, então é rápida e correta mesmo em arquivos grandes. O MD5 não é fornecido pelos navegadores, então uma implementação de referência compacta da RFC 1321 vem embutida; ela foi verificada contra os vetores de teste padrão. Os arquivos são lidos localmente e nunca são enviados.
Como usar
Digite ou cole um texto e os cinco hashes se atualizam conforme você escreve. Clique em Arquivo para gerar o hash de um download, um instalador ou um backup; o nome do arquivo e a contagem de bytes aparecem abaixo da entrada. Ative Maiúsculas ou Base64 para casar com o formato que sua fonte usa — o sha256sum do Linux imprime hex em minúsculas, muitas APIs e os digests de imagens Docker também usam hex em minúsculas, enquanto cabeçalhos Content-MD5 e atributos de Subresource Integrity usam Base64. Para verificar um download, cole o checksum da página do fornecedor na caixa Verificar: a linha correspondente fica verde e o status diz se houve correspondência, sem importar maiúsculas ou formato.
Ative HMAC e informe uma chave secreta para calcular hashes com chave (HMAC-SHA256 e afins), que é como são construídas as assinaturas de webhooks da Stripe, do GitHub e do Slack, o AWS Signature v4 e muitos esquemas de autenticação de API. O HMAC não é definido para MD5 aqui porque nenhum sistema moderno deveria estar usando isso.
Qual algoritmo devo usar?
SHA-256 é a escolha padrão em 2026: está na biblioteca padrão de toda linguagem, produz um digest de 64 caracteres hex e não tem ataques práticos conhecidos. O SHA-512 é mais rápido em CPUs de 64 bits e é usado onde se quer um digest mais longo. SHA-1 e MD5 estão quebrados em resistência a colisões — pesquisadores produziram dois arquivos diferentes com o mesmo MD5 desde 2004 e com o mesmo SHA-1 desde 2017 (o ataque SHAttered) — então não devem ser usados para assinaturas ou certificados, mas continuam adequados para usos não relacionados a segurança, como deduplicação, chaves de cache e conferência de um download contra um checksum publicado pelo mesmo site. Para armazenar senhas, nenhum destes é adequado sozinho: use bcrypt, scrypt ou Argon2, que são deliberadamente lentos.
Contexto: do MD5 ao SHA-3
O MD5 foi projetado por Ron Rivest no MIT em 1991 (RFC 1321) como um sucessor mais rápido do MD4 e se tornou o checksum universal da internet dos anos 1990. O SHA-1 veio da NSA em 1995 (FIPS 180-1) com uma saída de 160 bits. À medida que os ataques a ambos amadureciam, o NIST publicou a família SHA-2 em 2001 — SHA-256 e SHA-512 entre eles — e, após uma competição aberta, selecionou o Keccak como SHA-3 em 2015, como um backup estruturalmente diferente. Os navegadores expuseram SHA-1, SHA-256, SHA-384 e SHA-512 através da Web Crypto API padronizada pela W3C em 2017, que é o que torna possíveis ferramentas como esta sem nenhum servidor.
Onde é usado
Verificar imagens ISO, instaladores e firmware contra o SHA-256 publicado na página de download; IDs de commit do Git (SHA-1, migrando para SHA-256); digests de imagens Docker e OCI (sha256:…); arquivos de lock de pacotes e hashes de Subresource Integrity em HTML; verificação de assinatura de webhook com HMAC-SHA256; ETags e chaves de cache em CDNs; deduplicação de arquivos em ferramentas de backup; a prova de trabalho do Bitcoin (SHA-256 duplo); e conferências rápidas de igualdade entre duas exportações grandes. Quando uma assinatura ou um digest chega dentro de um JWT ou de um payload JSON, decodifique o container primeiro e depois verifique o hash aqui.
Perguntas frequentes
Meu arquivo é enviado para algum servidor?
Não. O arquivo é lido pelo seu navegador e o hash é gerado localmente com a Web Crypto API. Você pode se desconectar da internet e ele continua funcionando.
Por que meu hash não bate com o checksum do fornecedor?
Na maioria das vezes o download está incompleto ou é uma versão diferente do arquivo, ou você está comparando hex com Base64. A caixa Verificar aceita qualquer formato e ignora maiúsculas; se mesmo assim falhar, baixe novamente.
Posso reverter um hash para obter o texto original?
Não. Hashes são de mão única. Entradas curtas ou comuns podem ser encontradas por tabelas de consulta, e é por isso que senhas nunca devem ser armazenadas como um hash simples.
O MD5 ainda é seguro?
Para checksums e deduplicação, sim. Para qualquer coisa ligada a segurança — assinaturas, certificados, armazenamento de senhas — não; use SHA-256 ou melhor, e um hash lento como o Argon2 para senhas.
O que é HMAC?
Um hash combinado com uma chave secreta, de modo que só quem tem a chave consegue produzi-lo ou verificá-lo. É a forma padrão como APIs assinam webhooks e requisições.