Generador de Hash

MD5 (128 bits): Rápido pero criptográficamente roto desde la década de 1990 — existen ataques prácticos de colisión. Úselo solo para checksums que no sean de seguridad y por compatibilidad con sistemas heredados. SHA-1 (160 bits): También está roto — Google demostró un ataque práctico de colisión (SHAttered) en 2017. Evítelo para cualquier propósito de seguridad. SHA-256 (256 bits): El estándar actual de oro. Sin ataques prácticos conocidos. Utilizado en TLS/HTTPS, Bitcoin, Git (SHA-1 se está eliminando gradualmente) y firma de código. Úselo para todo lo nuevo. SHA-512 (512 bits): Proporciona un margen de seguridad mayor y es en realidad más rápido que SHA-256 en procesadores de 64 bits porque trabaja con palabras de 64 bits en lugar de 32 bits. Úselo cuando quiera un margen de seguridad adicional.

Una colisión ocurre cuando dos entradas diferentes producen la misma salida de hash. Por la paradoja del cumpleaños, las colisiones se vuelven cada vez más probables a medida que disminuye el número de valores de hash posibles. MD5 tiene una salida de 128 bits (aproximadamente 3.4 × 10^38 valores posibles), pero se han demostrado ataques prácticos para encontrar colisiones — un atacante puede crear dos archivos diferentes con el mismo hash MD5. SHA-256 tiene una salida de 256 bits (10^77 valores posibles) y no hay ataques prácticos de colisión conocidos. Las colisiones importan para firmas digitales y certificados: si puedes crear una colisión, podrías ser capaz de falsificar una firma.

Active el Modo por Lotes (Batch Mode) e ingrese un valor por línea en la entrada de texto. Cada línea se procesa por separado. La tabla de resultados muestra la entrada y sus valores de hash para cada algoritmo seleccionado, uno al lado del otro. Descargue todo como un archivo CSV para importarlo a Excel, una base de datos o cualquier flujo de procesamiento de datos. Esto es útil para generar hashes para una lista de contraseñas, claves API o checksums de archivos en lote.

Un hash regular como SHA-256 no tiene clave — cualquiera puede calcular el mismo hash a partir de la misma entrada. Esto está bien para la verificación de integridad (descargas de archivos) pero no para la autenticación. HMAC (Hash-based Message Authentication Code) combina una función hash con una clave secreta: HMAC-SHA256(key, message). El código resultante solo puede ser verificado por alguien que conozca la clave. Los HMAC se usan para la firma de solicitudes API (AWS Signature V4, JWT con HS256), verificación de webhooks (GitHub, Stripe) e integridad de cookies. Esta herramienta genera hashes estándar (sin clave). Para HMAC, necesita una herramienta o código que acepte una clave.

Cuando descarga un software, el editor suele publicar un checksum SHA-256 (o MD5) junto con el enlace de descarga. Al calcular el hash de su archivo descargado y compararlo con el valor publicado, puede verificar: (1) que el archivo no se corrompió durante la transferencia — incluso un solo bit invertido cambia completamente el hash, (2) que el archivo no ha sido manipulado por un ataque de hombre en el medio (man-in-the-middle) o por un mirror comprometido. Esto es especialmente importante para herramientas de seguridad, imágenes de SO y cualquier software que planee ejecutar con privilegios elevados. Use el campo de comparación incorporado: pegue el hash esperado y la herramienta le dirá instantáneamente si coinciden.

No, no directamente. Las funciones hash regulares (SHA-256, SHA-512, MD5) están diseñadas para ser rápidas — una GPU moderna puede calcular miles de millones de hashes SHA-256 por segundo. Para las contraseñas, necesita funciones diseñadas específicamente para ser lentas: bcrypt (costo ajustable, mínimo recomendado por OWASP 10), scrypt (memory-hard) o Argon2 (la opción recomendada actualmente). Estas funciones tardan entre 100 y 300 ms por verificación, lo que es imperceptible para los usuarios pero hace que el ataque de fuerza bruta de miles de millones de intentos sea impracticable. Use esta herramienta para la verificación de archivos, huellas digitales de datos y verificaciones de integridad — use bcrypt/Argon2 para contraseñas.

No. Todos los cálculos de hash se ejecutan en su navegador usando la Web Crypto API (para variantes SHA) y JavaScript (para compatibilidad con MD5). Su texto, archivos y contraseñas nunca salen de su dispositivo.